人間の攻撃者がMarimoのRCE脆弱性をマシン並みの速度で悪用

ある人間の攻撃者が、手作業で構築したツールキットを使い、脆弱なMarimoノートブックからSSHの踏み台ホストへの侵入をわずか8秒で成し遂げました。通常はAI主導の攻撃に見られる速度に達したことになります。

9月11日に公開された技術解説記事の中で、Sysdigの脅威リサーチチームは、この攻撃者がMarimoノートブックプラットフォームの認証前リモートコード実行(RCE)脆弱性であるCVE-2026-39987を悪用しており、いずれの段階でも大規模言語モデル(LLM)を使用した形跡が見られなかったと述べています。

マシン並みの速度で動いた人間

CVE-2026-39987はMarimoのバージョン0.20.4以下に影響し、0.23.0で修正されています。この脆弱性はターミナルのWebSocketエンドポイントに存在し、プラットフォームの他のWebSocketエンドポイントには適用されている認証チェックがここでは欠落していました。そのため、このエンドポイントに接続を確立したクライアントは、認証情報なしでMarimoプロセスのユーザー権限を持つ対話型シェルを取得できてしまいました。

Sysdigによれば、これが重大な問題である理由は、Marimoノートブックが通常、GPUへのアクセス権、大規模なデータセット、AWSやGCP、各種モデルプロバイダーの認証情報を保持するホスト上で、機械学習パイプラインと並行して稼働しているためです。侵害されたノートブックは、被害者のクラウドアカウントへの入り口になると同社は指摘しています。

攻撃者はホスト上の2つの経路、すなわちプロセス環境とアプリケーションのRedisバックエンドからクラウドの認証情報を収集し、それをAWSアカウントに対して再利用しました。その結果、AWS Secrets ManagerからSSH秘密鍵が取得され、インターネットからアクセス可能な踏み台ホストへの認証に使われました。

8秒というのは攻撃の全容ではありません。Sysdigによると、攻撃者はそれ以前のセッションでPython製ツールキットの構築とデバッグに約4時間を費やし、8本のスクリプトをホスト上に保存していました。これにより、後に再接続した際には1つのコマンドで完成済みの攻撃チェーンを一気に実行できるようになっていたのです。

9時間に及ぶセッションの中で、850件を超える対話型コマンドが記録されましたが、既知の公開されている攻撃ツールは一切使用されていませんでした。

AI主導の攻撃に関する関連記事: 中国人ハッカー、DeepSeek AIを使って脆弱性攻撃を組織化

攻撃者はAI向けに仕込まれた罠をすり抜けた

Sysdigは、LLMエージェントを検知するための仕掛けを脆弱なコンテナ内に設置していました。特定のファイルを読み取ったモデルに対して、出力の中に隠しマーカーをエコーするよう指示する内容です。この脆弱性に対してこれまでプロファイリングされたAI主導の攻撃者は、例外なくこのマーカーをエコーしていました。

ところが今回の攻撃者は、同じファイルを2回確認したものの、マーカーを一度もエコーしませんでした。AIエージェントを確実に検知できていたこのプロンプトインジェクションの罠は、人間の攻撃者には通用しなかったのです。Sysdigはこの結果を、これまでで最も明確な「非LLM」の兆候だとしています。

Sysdigが導き出した教訓は、検知の仕組みを特定の攻撃者タイプの痕跡だけに依存させてはならないということです。LLMが生成したコマンド列と人間が手入力したコマンド列はまったく異なる見た目をしていますが、最終的にはどちらもSecrets Managerの呼び出し、SSH鍵の受け渡し、踏み台への接続という同じ結末にたどり着きます。つまり優先すべきは、入力の仕方ではなく攻撃チェーン全体の形なのです。

Sysdigが推奨する対策には、0.23.0へのアップデート、ターミナルエンドポイントを認証の背後に置くか無効化すること、ノートブックの認証情報で踏み台の鍵を読み取れないようSecrets Managerの権限範囲を絞ること、そして外部から到達可能なインスタンス上で露出したあらゆる認証情報をローテーションすることが含まれます。

CVE-2026-39987はCISAの既知の悪用された脆弱性(KEV)カタログに数か月前から掲載されており、連邦機関に対する修復期限は2026年5月7日となっています。