Wiz、AIインフラを狙うLiteLLMおよびMCPへの実攻撃を検出 | eSecurity Planet

攻撃者は単に別のWebサービスとしてAIインフラをスキャンするだけでなく、その手口をAIインフラ向けに適応させ始めています。

Wiz Threat Researchによると、90日間にわたるハニーポット運用の結果、LiteLLM、Model Context Protocol（MCP）サーバー、LangChain、Flowise、Langflow、OpenWebUI、Node-REDなどのAIサービスに対する持続的な攻撃を捕捉したとのことです。観測された活動には、LiteLLMの悪用、暗号資産マイニング、ブラインドプロンプトインジェクション、稼働中のAIシステムから認証情報を窃取しようとする試みなどが含まれていました。

AIゲートウェイには、モデルプロバイダーの鍵、クラウド権限、そしてMCPを通じた社内システムへの接続情報が保持されている場合があります。Wizのハニーポット調査では、攻撃者が初期侵入後にこうした接続関係を狙っていたことが明らかになりました。一方、最近の他の侵入事例でも、偵察や悪用、認証情報窃取、侵害後の意思決定においてAIが実際の攻撃で使われていることが示されています。

LiteLLMの脆弱性が2つの攻撃経路を生む

LiteLLMは複数の大規模言語モデルプロバイダーにまたがってリクエストをルーティングする仕組みであり、MCP接続が追加のツールや社内リソースを露出させている場合、格好の標的となります。

攻撃経路の一つは、LiteLLM 1.84.0より前のバージョンに影響する深刻度の高い認証バイパスの脆弱性CVE-2026-59822を利用したものでした。OAuth2のパススルー処理に不備があったため、有効なLiteLLMキーがなくても、任意のBearerトークンで設定済みのMCP機能にアクセスできる状態になっていました。Wizは、攻撃者が公開されたサービスを探る際に、わずか1文字のトークンさえ使用していたことを観測しています。同様のMCPを悪用した認証情報窃取に関する調査でも、侵害された連携機能からOAuthトークンや接続先のSaaSサービスが露出しうることが示されています。

また別の攻撃では、LiteLLMバージョン1.74.2から1.83.7より前までに影響する、認証済みユーザーによるコマンド実行を可能にする脆弱性CVE-2026-42271が悪用されました。MCPのテスト用エンドポイントを通じて、攻撃者が制御するコマンドをLiteLLMホスト上でサブプロセスとして起動できる状態でした。Wizのハニーポットでは、攻撃者がこの脆弱性を使ってPython製のダウンローダーを起動し、暗号資産マイナーをインストールする様子が確認されています。

このマイナーはデタッチドプロセスとして実行され、ステージング用ディレクトリは削除されていたため、ディスク上に残る痕跡は最小限に抑えられていました。この一連のキャンペーンには、他のAIフレームワークを狙ったブラインドプロンプトインジェクションの試みも含まれており、攻撃者は出力が直接確認できない状況でコマンドが実行されたかどうかを、外向きのDNSリクエストを使って判定していました。

AIゲートウェイにリスクが集中

目下の最優先事項は、既知の脆弱性を解消しつつ、ゲートウェイが侵害された場合にアクセスできる範囲を狭めることです。MCPサーバーを含むAI開発ツールは、ソフトウェアサプライチェーンの一部としてますます組み込まれるようになっており、コードや認証情報、CI/CD環境へのアクセス経路となりうる存在です。

組織は以下を実施すべきです。

• LiteLLMの速やかなパッチ適用。 1.84.0以降にアップグレードし、依存アプリケーションが脆弱なバージョンに固定されていないことを確認する。
• MCPおよび管理用エンドポイントの制限。 未使用のルートを無効化し、テスト用インターフェースは信頼できるユーザーに限定し、不必要な公開を避ける。
• ゲートウェイをネットワーク制御の背後に配置。 リバースプロキシ、WAF、VPN、プライベートロードバランサーを利用し、直接アクセスを減らす。
• 最小権限とセグメンテーションの適用。 プロバイダーの鍵、クラウドロール、サービスアカウント、MCPツールの権限を制限し、AIシステムを機密インフラから隔離する。
• アウトバウンド通信の制御。 不要なDNS・HTTP接続を制限し、不審なコールバックやペイロードのダウンロード、モデルの列挙をアラート対象とする。
• プロセスおよび認証情報の悪用を調査。 不審な子プロセス、削除されたステージングディレクトリ、異常なMCPリクエスト、メモリからの認証情報取得の試みを調べる。
• AIインフラを対象としたインシデント対応計画のテスト。 隔離、認証情報のローテーション、MCPサービスの見直し、クラウド・APIログの分析、下流アクセスの確認を検証する。

セキュリティチームにとって、ゲートウェイが侵害された場合はLiteLLMホスト自体だけでなく、そこからアクセスしうるあらゆる認証情報、MCP接続、下流サービスを見直す契機とすべきです。

Wizはまた、攻撃者がLiteLLMの稼働中のPythonプロセスに対してマスターキーを問い合わせたり、利用可能なモデルバックエンドをフィンガープリンティングしたりする様子も観測しています。防御側は、ディスク上のファイルだけでなく、メモリやランタイムの状態を通じて露出する認証情報や接続情報についても考慮すべきです。

AIゲートウェイは、特権を持つインフラとして扱う必要があります。その露出範囲、権限、接続性を制限することで、侵害後に攻撃者が到達できる範囲を狭めることができます。

関連記事: 最近のTeamPCP関連逮捕事案からは、信頼された開発者向けツールの侵害が、ソフトウェアサプライチェーン全体にわたる大規模な認証情報窃取につながりうることがうかがえます。