36,769件のセルフホストAIサービスがオンライン上に露出 — セキュリティチームが確認すべきこと | eSecurity Planet

セルフホスト型のAIは、機密性の高いワークロードをより厳格に制御できるという触れ込みです。しかし新たに実施されたインターネット全体を対象としたスキャンにより、そのうち数万件のシステムが公衆インターネットからアクセス可能な状態にあることが判明しました。

Mysterium VPNが9月10日に公表した調査によると、研究者らはモデルサーバー、ワークフローツール、ベクトルストアにまたがる36,769件のセルフホストAIエンドポイントを特定しました。このうちHTTP認証チャレンジを返したのはわずか741件、割合にして2.02%にとどまりました。

もっとも、これは残り98%にアプリケーション側のログイン機構が存在しないことを意味するわけではありません。サービスによっては独自のサインインページを表示しつつも、HTTPステータスとしては200を返す場合があります。Mysterium VPNの調査では、今回の調査手法で検出可能なネットワーク層・HTTP層での認証ゲートを備えていたのは、ごく一部にとどまることが分かりました。

露出はモデルサーバーにとどまらない

アクセス可能なエンドポイントのうち、Open WebUIが18,529件と最多を占め、次いでOllamaサーバーが6,935件、vLLMエンドポイントが4,880件となりました。研究者らはさらに、AIワークフロー・エージェント構築プラットフォームに関連するエンドポイントを5,223件特定したほか、ベクトルストア関連のエンドポイントも920件確認していますが、これについては実際の数がさらに多い可能性があると注意を促しています。

ワークフロー系プラットフォームは、AIモデルをAPI、データベース、クラウドサービス、Webhook、認証情報と接続できるため、特に注意深い精査が必要です。こうした接続の存在により、モデル単体にとどまらずAIエージェントに対する信頼性とアクセス制御の重要性が増しています。

中でもOllamaが目立つ結果となりました。匿名リクエストに対して6,935台のサーバーが、Ollamaであることを特定できるルートレスポンスを返したのです。Ollamaのドキュメントでも、APIにローカルからアクセスする際には認証が不要であることが確認されています。

公開されたAIインフラは、実際の攻撃対象にもなっています。最近発生したLiteLLMおよびMCPサーバーへの攻撃では、認証情報の窃取、コマンド実行、クリプトマイニング、さらにはAIサービスに接続されたリソースへのアクセス試行が確認されています。また、別途72時間にわたって計測用の環境を展開したCyberDessertsの研究者らは、AI特有の偵察行為や認証情報・設定ファイルを狙った探索行為を観測したものの、AIモデル自体への広範な悪用の確立までは至らなかったとしています。

AIの攻撃対象領域を封じ込めるには

組織はまず、どのAIサービスが外部からアクセス可能な状態にあり、その露出が意図したものかどうかを確認すべきです。そのうえで、ネットワークアクセス、認証情報、ソフトウェアの衛生管理、監視、対応の各領域にわたる対策を講じる必要があります。

• 外部公開されているAIサービスの棚卸し。モデルサーバー、Webインターフェース、エージェントプラットフォーム、ベクトルデータベースを、アタックサーフェス管理や外部露出スキャンの対象に含めます。
• 不要なネットワークアクセスの制限。可能な限りサービスを非公開に保ち、ファイアウォールルールやIPアローリストを活用します。必要なリモートアクセスについては、認証付きプロキシ、VPN、ゼロトラスト制御で保護します。
• 展開環境へのパッチ適用と堅牢化。AIソフトウェアおよび関連コンポーネントを常に最新の状態に保ちます。CVE-2024-37032(通称Probllama)はOllamaのバージョン0.1.34より前のバージョンに影響を及ぼす脆弱性で、バージョン0.1.34で修正されています。CISAも実際に悪用されているAIインフラの脆弱性を既知の悪用済み脆弱性カタログに追加しています。
• 認証情報の保護とローテーション。露出したワークフローシステムにAPIキー、クラウドトークン、データベース認証情報、Webhookシークレットが含まれていないか確認し、露出の可能性がある機密情報はローテーションを行ったうえで最小権限の原則を適用します。
• 悪用と横展開の抑制。レート制限を適用し、AIインフラを機密性の高いシステムから分離するとともに、不要なアウトバウンド接続を制限します。
• 不審な activity の監視。プロキシ、ファイアウォール、クラウドフロー、アプリケーションの各種ログを確認し、通常と異なる送信元IP、異常なリクエスト量、想定外の推論処理、その他のAPI上の異常を検出します。
• AI露出を想定したインシデント対応計画のテスト。封じ込め、ログの保全、認証情報のローテーション、過去のアクセス履歴の確認、接続システムの調査といった対応を実際に演習します。

これらの対策は、開発から実行時の各段階にわたるAPIリスクと対策を体系化したNIST SP 800-228とも整合しています。今回確認された36,769件のエンドポイントは、すべてが侵害を確定的に示すものではありません。ただし、プライベートな環境の枠を超えてどれだけ多くのセルフホストAIインフラが外部から見える状態にあるかを物語っています。

こうした露出を減らし、権限を制限し、アクセスを監視することが、アクセス可能な状態にあるサービスがより大規模なインシデントへと発展するのを防ぐことにつながります。

関連記事: 最近発見されたNemoClawの脆弱性は、露出したOllamaバックエンドが悪用されることで、悪意のあるWebサイトがAIエージェントの使用するモデルを改変できてしまう可能性を示しました。この事例は、ローカルの推論サーバーを特権を持つインフラとして扱うべき理由を改めて浮き彫りにしています。