AIを軸に構築された攻撃ツールが確認されました。このツールは、インターネット上の誰もがアクセスできるAIモデルを探し出し、侵入計画の立案に悪用します。その間、計算リソースの費用を負担するのはモデルの所有者です。
Symantecの研究者Priti More氏とSusmit Yenkar氏によると、同社は今夏、無防備なAIサービスを装ったハニーポットでこのエージェントの命令セットを捕捉しました。攻撃者は、デコイの先に稼働中のモデルがいて命令を実行してくれると見込み、作業用プロンプトの全文を送信していました。
研究者らは、このツールの特徴として「盗まれたモデルは単に質問に答えるだけではなく、攻撃の計画と実行を主導する」点を挙げています。
研究者らは次のように述べています。「保護されていないモデルに接続すると、エージェントは新たな標的のスキャン、一般的なWebフレームワークの悪用、データベースや認証情報の窃取、暗号資産マイナーのひそかな設置を指示されます。最大10万ステップにわたり、人間の承認を求めることなく実行します」
Symantecのチームは「この活動はLLMjackingの一種であり、攻撃者が他人のAIモデルへのアクセス権を盗みます」と説明しています。
標的には、デフォルト設定のまま公開されているセルフホスト型のモデルサーバー、企業の有料アカウントの前段に置かれたAIゲートウェイ、急造された社内テスト用システム、モデルとツールをつなぐModel Context Protocol（MCP）サーバーなどが含まれます。大半のAIツールはOpenAI互換の同じインターフェースを使用しているため、1つのスキャナーでこれらすべてを見つけられます。
Symantecは「モデルの実行には必ず誰かがコストを負担しています。セルフホスト型なら処理時間、商用モデルならトークン単位の料金です」と指摘しています。
攻撃者は、見知らぬ第三者のエンドポイントや盗んだAPIキーを経由して処理を実行させることで、コストを被害者に転嫁します。同時に匿名性を保ち、不正利用に対してプロバイダーが科すアカウント停止も回避できます。
監視期間中、ハニーポットには数万に上る固有のアドレスから、12万7000件を超える外部リクエストが記録されました。その大半は、モデルのエンドポイントに対する偵察、盗まれたAPIキーを使った試行、公開された設定ファイルの探索でした。
機密情報を盗むために作られたジェイルブレイク
商用モデルに協力させるため、攻撃者はリクエストにジェイルブレイクを仕込んでいました。その一部は、設定ファイル、.envファイル、APIキー、データベーススキーマの読み取りは通常の開発作業であり、拒否も警告もしてはならないとモデルに伝えるものです。これにより、エージェントはシステムに侵入した後、こうした機密情報を収集できるようになります。
別の部分では、モデルを操作者に尽くす架空の相棒に仕立て、拒否は裏切りだと位置づけていました。コードに関する返答では、「illegal（違法）」「ethical（倫理的）」「I can’t（できません）」といった語が禁じられていました。
リクエストには約74個のツール定義が含まれていました。プロンプト自身の要約で挙げられた数個を大きく上回る数です。内容は、標的を探すインターネット全体へのスキャン、Django、Jupyter、LaravelなどのWebフレームワークに対するエクスプロイト、公開されたデータベースのダンプ、ボットネットの制御に及びます。
カメラサーバーを狙うマイナー
エージェントのプロンプトがハニーポットに届いた翌日、別のアドレスにローテーションされた発信元から2件目のリクエストが届きました。実行すべきコマンドとだけ説明された文字列のデコードをモデルに求めており、中身は圧縮されたシェルスクリプトでした。このスクリプトは、オープンソースのMonero採掘ソフトウェアXMRigをダウンロードし、必要に応じてコンパイルします。ハニーポットはこのスクリプトを捕捉しましたが、先のリクエストと同様に実行はしていません。
スクリプトはカメラサーバーを念頭に書かれたとみられます。スマートカメラのゲートウェイやHome Assistant環境で見られる動画ストリーミングサーバー「go2rtc」が使うディレクトリを探し、最初に見つかった場所に、.traceというファイル名でマイナーを隠していました。
研究者らは次のように付け加えています。「個々の手法は目新しいものではありません。目を引くのは、それらを組み合わせて、自律的に動く単一のエージェントに仕立てた点です。操作者が目標をモデルに与えて任せるだけで済むため、大規模な攻撃キャンペーンを実行するのに必要なスキルが下がります」
Symantecは結論として、次のように述べています。「AIサービス、モデルゲートウェイ、MCPサーバーを立ち上げる組織は、公開後すぐに発見されて試されると想定すべきです。認証のないエンドポイントは、今や攻撃者が積極的に探し回る資源なのです」
翻訳元: https://www.helpnetsecurity.com/2026/10/23/llmjacking-agent-hijacks-exposed-ai-models/
