9月4日、GBHackersが「LLMjacking Attack Abuses Leaked AWS Credentials to Hijack Amazon Bedrock AI Models」と題した記事を公開した。同記事はFortiGuard Labsが報告したインシデント分析をもとに構成された二次記事であり、漏洩したAWS IAM認証情報を悪用してAmazon Bedrockの生成AIモデルを乗っ取る「LLMjacking」攻撃の手口と防御策を詳しく紹介している。有効な認証情報1本が1日あたり最大10万ドル超の請求に化けるという被害のスケール感は、クラウドセキュリティの優先事項を根本から問い直すものだ。

LLMjackingとは何か

LLMjackingとは、盗んだクラウド認証情報を生成AIサービスへのアクセス権に変換する攻撃手法だ。「LLMjacking」という名称は、2023年にSysdigの脅威調査チームが命名・定義したもので、クラウド認証情報を用いてLLMサービスを不正利用する攻撃パターンを指す言葉として定着しつつある。

従来のクラウド侵害といえばデータ窃取やクリプトマイニングが主流だったが、LLMjackingはそれとは異なる経済的動機を持つ。攻撃者はモデルの重みや学習データを盗む必要はなく、有効な認証情報を使って被害者のAWSアカウントに高額な推論コストを発生させるだけでよい。自身の業務利用に使うケースと、非正規のAIチャットボットサービスとして転売するケースの両方が確認されている。

実際の侵害の流れ

FortiGuard Labsが報告したインシデントでは、以下の順序で侵害が進行した。

1. 有効期限なしのAdministratorAccess権限付きIAMアクセスキーが漏洩
2. 攻撃者が新たなIAMユーザーを作成
3. AWS MarketplaceのCreateAgreementRequestおよびAcceptAgreementRequestを悪用し、基盤モデル（Foundation Model）をサブスクライブ
4. 有効化されたモデルに対してInvokeModelリクエストを発行し、被害者のアカウントに課金を発生させる

攻撃者はさらに、Bedrock固有のサービス認証情報を新規作成またはリセットする場合もある。これは通常のIAMアクセスキーとは異なり、モデルAPIへの長期的なアクセス手段となり得る。

検知を難しくしているのは、InvokeModelリクエスト自体が許可されたAPIと正規の認証情報に基づいているため、正常なトラフィックと区別がつきにくい点だ。CI/CDパイプラインのシークレットやローカルの認証情報ファイルなど、開発現場で露出しやすい情報が、そのまま直接的な収益化手段に変わるという構図が成立している。

被害額のスケール感

Fortinetが引用した先行研究によると、被害者が被る推論コストは以下の水準に達し得る。

推論コストはリクエスト数とトークン量に比例して増大するため、攻撃者が転売目的で大量のリクエストを流し続けると、被害者は請求額を確認するまで侵害に気づかないケースが多い。コスト異常がアラートの起点になり得る一方、AWS Budgetsのアラート閾値が適切に設定されていない環境では、数日間にわたって見落とされるリスクがある。

防御と検知のポイント

Fortinetが推奨する対策は以下のとおりだ。

• 長期有効・広範な権限を持つIAMキーはTier-0リスクとして扱う。可能な限り、短期間のロール引き受け（assume role）ベースの認証情報に移行する
• AWS CloudTrailをすべてのアカウントで有効化し、IAM作成・認証情報発行・Marketplace操作・モデルアクセスを追跡できるようにする
• Bedrock呼び出しログを有効化する。このログはデフォルトでオフになっており、CloudTrailだけでは捉えられないリクエストレベルの可視性を提供する
• Bedrockへの初回アクセスだけを侵害の証拠と見なさない。見慣れない送信元IPアドレス、直近に作成されたIAMアカウント、アクセス拒否イベント、不審な認証情報作成といった二次シグナルと組み合わせて判断する

検知アラートとして有効なのは、以下のイベントだ。

• IAMポリシー変更
• 新規AWSユーザー作成
• IAMアクセスキーの変更
• サービス固有の認証情報の作成・リセット
• Marketplace契約の作成・承認
• Bedrock呼び出しログの削除
• Bedrockのスロットリング例外（ThrottlingException）

なお、Amazon GuardDutyはIAM関連の異常検知を自動化する手段として有効であり、LLMjacking対策の文脈でも補完的なレイヤーとして機能する。

クラウド侵害の経済的構造の変化

このインシデントが示すのは、クラウド侵害の目的がデータやコンピュートリソースの窃取から、AI推論能力そのものの消費・転売へと拡張されているという事実だ。有効な認証情報一本が、高額なAIサービスへの無制限アクセスに直結する時代になっている。

攻撃者にとってLLMjackingはリスクが低く収益性が高い。モデル自体を盗む必要がなく、インフラを自前で用意する必要もなく、被害者のクラウド予算を消費するだけで転売収益を得られる。この非対称性こそが、LLMjackingが今後より広範に観測されると予測される根拠でもある。

IDの変更と課金に紐づいたAI利用の両方を監視する体制を整えないと、推論コストが膨らむまで攻撃の発覚が遅れるリスクがある。セキュリティチームとFinOpsチームが連携してBedrockコストの異常を検知する仕組みを持つことが、実質的な早期発見に直結する。

詳細はLLMjacking Attack Abuses Leaked AWS Credentials to Hijack Amazon Bedrock AI Modelsを参照していただきたい。