AIシステム侵害の行き着く先 Microsoftが突き止めた攻撃者の「真の目的」：セキュリティニュースアラート

社内のAI活用を支える基盤には、APIキーや社内データへの経路、プログラムを実行する権限が集中している。Microsoftはこの基盤を直接狙った侵害を3件観測した。攻撃者は何を奪おうとしたのか。では、企業はどこから対策に手を付けるべきか。

[ITmedia]

　Microsoftの脅威インテリジェンス部門は2026年8月26日（現地時間）、インターネットに露出したAI関連システムを狙う攻撃について調査結果を公開した。同社が観測したのは、社内アプリと外部のAIモデルを仲介する「LLMゲートウェイ」、社内文書をAIに参照させるRAG（検索拡張生成）基盤、業務処理を自動実行するワークフロー基盤という3つの異なるシステムへの実際の侵害だ。

　Microsoftが強調するのは、個別製品の欠陥という以上に、こうした基盤の役割そのものにリスクが集中しているという構造的な問題だ。これらのシステムは、利用者とアプリケーション、社内データ、AIモデルの間に立つ。そのため外部AIサービスのAPIキーや社内データベースへの接続情報、プログラムを実行する権限を1カ所に抱え込む。攻撃者から見れば、ここを1つ落とすだけで複数の資産に手が届く。

　侵入の入口は3件でそれぞれ異なっていた。しかしMicrosoftの分析によると、攻撃者が最終的に目指したものは共通していたという。

3件の侵害に共通した攻撃者の狙いとは

　3件の攻撃者の狙いは、認証情報の窃取、気付かれない潜伏の継続、そして奪った計算資源を仮想通貨の採掘に使う金銭化という3点で共通していた。標的となったのは「LiteLLM」「RAGFlow」「Kestra」という3つのオープンソース基盤だ。

　Microsoftはこうした基盤を、企業の他の重要インフラと同等の警戒レベルで扱うべき「制御点」だと位置付けている。

AIの「料金メーター」を握られる

　1件目の標的は、社内アプリと外部のAIモデルを仲介するオープンソースのLLMゲートウェイ「LiteLLM」だ。インターネットに公開されたままだったゲートウェイが侵入の起点になったとみられている。Microsoftによると、認証の仕組みを迂回できるWebフレームワーク「Starlette」の欠陥と、本来は認証済みの利用者しか使えないはずの機能を組み合わせて外部から任意のプログラムを実行できる経路が、公開研究で報告されている（CVE-2026-42271、CVE-2026-48710）。

　侵入後、攻撃者はまずゲートウェイが保持していた設定情報を読み出した。外部AIサービスのAPIキーや管理用のマスターキー、データベースへの接続情報、管理画面のパスワードなどをまとめて外部に送信している。続いて、正規のシステムサービスに見せかけた名前のプログラムを送り込んで動かし、サーバの計算資源を使った仮想通貨の採掘を開始した。

　さらに、先に盗んだ接続情報を使ってクラウド上のデータベースにも到達し、利用中のAIモデルの構成やチームごとに発行されていた利用キーの記録まで持ち出している。最後にはサービス用アカウントに外部からログインできる鍵を密かに追加し、簡単には削除できない設定を施して長期的な足場を確保した。

　APIキーの流出は、単なる情報漏えいにとどまらない。第三者が自社名義で外部AIサービスを利用できるようになるため、利用料金の不正な発生に直結する。この点が従来の侵害とは異なる特徴だ。

入力のたびに漏れ続けるRAG基盤の手口

　2件目の標的は、社内文書をAIに参照させるオープンソースのRAG基盤「RAGFlow」だ。この事例は仮想通貨採掘を伴わず、AIサービスの認証情報の収集だけに徹していた点で性格が異なる。

　攻撃者はアプリケーションの内部に小さなプログラムを仕込み、サービスが起動するたびに自動的に読み込まれるよう設定を書き換えた。その上で、管理者がAIモデルの接続設定を登録する画面の処理に割り込む。結果として、感染後に新しく登録されたサービス名、モデル名、APIキーなどが、設定操作のたびに攻撃者へ送信され続ける状態になる。

　厄介なのは、この仕組みが失敗しても画面上はエラーを出さず、アプリケーションが正常に動き続けるよう作られていた点だ。利用者から見て異常が表面化しにくく、しかも設定の書き換えはシステムの再起動をまたいで残る可能性がある。実際の侵入手段についてMicrosoftは断定を避けている。ただし本格的な攻撃の数日前に外部への不審な通信が観測されており、こうした兆候を早期に拾うことが防御の手掛かりになると指摘する。

被害が周辺システムの秘密にまで及ぶ

　3件目の標的は、業務処理を自動実行するオープンソースのワークフロー基盤「Kestra」だ。この事例ではログイン認証を迂回できる深刻な欠陥（CVE-2026-49869）が悪用されたとみられる。攻撃者は正規の利用者になりすます必要もなく、不正な業務フローを登録して実行させることで、サーバ上で自由にコマンドを動かせる状態を作り出した。

　被害はその1システムで止まらなかった。ワークフロー基盤は、他システムを自動操作するために多数の認証情報を近くに抱えている。攻撃者はその特性を利用し、同じサーバ上で動いていた他のコンテナの設定情報まで一覧し、クラウドの利用キーやデータベースのパスワード、各種APIトークンを収集した。加えて、盗んだ情報の保管に基盤自身のデータ保存機能を使うことで、痕跡を残しにくくする工夫も見られたという。

　またMicrosoftは、一部の攻撃プログラムに、構造が整理され例外処理や注釈が丁寧に書かれているなど、AIによって生成されたコードにありがちな特徴が見られたとも述べている。ただし、これは攻撃者の正体を示す証拠ではないと明確に断っており、重要なのはむしろ、攻撃プログラムがさまざまな環境で安定して動くよう作り込まれてきている点だとしている。

対策の要は「AI基盤を金庫として扱う」

　Microsoftが挙げる対策の中心は、AIゲートウェイを企業内でも最上位の機密を預かる存在として扱うという考え方だ。管理画面をインターネットに直接公開しない、利用面と管理面の双方で認証を必須にする、製品を最新の状態に保つといった基本の徹底がまず求められる。

　認証情報の扱いも見直しが必要だ。Microsoftは次の3点を挙げている。

1. キーのチーム単位化：全社で1つのマスターキーを共有する運用をやめ、利用上限を設けたチーム単位のキーを発行する
2. 専用の保管サービスの利用：外部AIサービスのキーはシステムの設定値として置かず、専用の保管サービスで管理する
3. 露出したキーの更新：既に露出していた基盤があれば、関連するキーを全て更新する

　あわせてMicrosoftは、AI基盤からの外部通信を原則遮断し、必要な接続先だけを許可する運用も推奨する。これは、万一侵入されても情報を持ち出させないための備えにあたる。

　検知の考え方としては、AI基盤を単なる1つのアプリケーションとしてではなく、権限が集約された制御点として監視すべきだとする。AI基盤のプロセスが本来やらないはずの動作とは、別のプログラムの起動や認証情報の読み出し、見慣れない外部への通信などだ。こうした挙動を個別の警告として流さず一連のつながりとして捉えることで、製品固有の情報に頼るより早く攻撃に気付けるという。

　Microsoftは原文で、各段階の詳細な攻撃の流れに加えて、Microsoft Defender向けの調査用クエリやMITRE ATT&CKへの対応付け、通信先や検体のハッシュ値といった侵害指標を公開している。該当する基盤を運用する企業にとっては、自社環境を点検する際の照合材料になる。AI活用の拡大とともに、こうした基盤は攻撃者にとって価値の高い標的になりつつある。