アクセス制限のある犯罪フォーラムで、盗んだOpenAI、Anthropic、GoogleのAPIキーで動く自律型ハッキングツールが販売されています。スキャン費用を負担するのは、キーの持ち主です。Bitsightの脅威インテリジェンスチームは、2026年2月から8月にかけて、16のアンダーグラウンドフォーラムに投稿された数千件の書き込みを調べ、この変化を追跡しました。この期間に、AIエージェント、間接プロンプトインジェクション、Model Context Protocol（MCP）への言及は67%増加しました。
危険にさらされるのは2種類の組織です。AIプロバイダーのキーを漏えいさせた企業は、他人のシステムへの攻撃の費用を負担することになります。公開レジストリからエージェント用プラグインを取得するエンジニアリングチームは、便利なツールを装ったマルウェアをインストールしてしまうおそれがあります。
1つのパネルに多数の盗難キー
このツール「MONST3R-AI」は、自律型のペネトレーションテスト用プラットフォームとして販売されています。購入者は盗んだキーをパネルに貼り付け、予算の上限を設定し、標的リストをエージェントに指定します。販売者は自前のモデルを一切ホストしていません。この仕組みにより、プロバイダーの安全性トレーニングを回避でき、料金は被害者に請求されます。
販売者は、199台のスキャン対象ホストで1,072件の検出結果があったと主張しています。この数字は販売者のダッシュボードによるもので、Bitsightは検証できていません。Bitsightは、正確な結果がごくわずかであってもツールとして十分に有効だとみています。さらに、こうしたスキャナーを動かす燃料としてのみ、盗難キーが売買されるようになると予想しています。
脱獄もオープンモデルも増加
モデルに安全ルールを無視させる脱獄（ジェイルブレイク）は、依然としてこれらのフォーラムで最大の話題です。調査期間中に、この話題は約4分の3増えました。より示唆に富むのは、高度なスキルを持つ攻撃者の動向です。GLMやDeepSeekといったオープンウェイトモデルへの言及が急増しました。これらのモデルは誰でもダウンロードでき、レンタルサーバー上で動かせます。そこではリクエストを確認するプロバイダーも、ログの保存も、アカウントの停止もありません。中国語圏とロシア語圏の掲示板では、利用者がリクエストへの従順さでモデルをランク付けしています。なかには、アブリタレーション（abliteration）と呼ばれる手法で、モデルから安全対策の挙動を自ら取り除く者もいます。
利用コストは安価です。再販業者のCloseRouterは、オープンウェイトモデルと商用モデルを100万トークンあたり約10セントで宣伝していました。GLMの価格表では、100万入力トークンあたり0.053ドルで、公式APIの1.12ドルを大きく下回ります。バイブコーディングへの言及は2倍以上に増えました。ただし、エリート層の間では、この言葉はコードを理解せずAIに頼る人々への侮辱として使われています。
ランサムウェアの話題は半減
研究者らは、同じフォーラムにおける一般的な犯罪用語と比較して、AI関連の数字を検証しました。AI関連の議論が45%増えた一方で、ランサムウェアへの言及は49%、フィッシングは8.5%減少しました。ランサムウェアの減少は、摘発やクローズドなチャンネルへの移行が一因とみられ、差の一部は話題間の関心の移動によるものです。
WormGPTやFraudGPTといったブランド化された犯罪用チャットボットは8.7%減少し、フィッシングの減少幅に近い水準でした。WormGPTは今年前半に侵害を受け、約1万9,000人のユーザーのメールアドレス、決済データ、サブスクリプションの階層が流出しています。
確認すべきポイント
フォーラムの参加者は、攻撃者グループWater Kuritaによるものとされるキャンペーン「FakeGit」を分析しています。このキャンペーンでは、約7,600件の偽GitHubリポジトリを通じてSmartLoaderマルウェアが拡散されました。そのうち800件以上はAIスキルやMCPサーバーを装っており、公開AIレジストリにインデックスされるよう、「Docker MCP Gateway」に似せた偽物も含まれていました。ほかの投稿では、ある攻撃者がエージェントに逆アセンブラ「IDA Pro」を使わせてバッファオーバーフローを見つけ、エクスプロイトの計画案を作成させる様子を示しました。別の攻撃者は、ブラウザ自動化エージェントを使って企業のNotionアカウントに侵入しました。
公開されているAIプロバイダーのキーがないかスキャンし、漏えいはAWS認証情報の露出と同じ深刻さで扱ってください。すべてのMCPサーバーとエージェント用プラグインについて、入手元を確認してください。ローカルのコーディングエージェントが、人間の承認なしに機密ディレクトリやシェルコマンドへアクセスすることを防いでください。Notion、Slack、GitHubでは、人間のログイン頻度の基準値を把握しておいてください。ヘッドレスブラウザを操作するエージェントは、独特のリズムで動作するためです。
翻訳元: https://www.helpnetsecurity.com/2026/10/16/stolen-ai-api-keys-autonomous-scans/
