10月23日、Help Net Securityが「Hackers hijack exposed AI models to launch cyberattacks at victims' expense」と題した記事を公開した。インターネット上に露出したAIモデルを乗っ取り、攻撃インフラとして自律的に悪用する「LLMjacking」攻撃ツールの実態を、Symantecの研究者が詳細に報告している。

AIモデルが攻撃者の「手足」になる

Symantecの研究者Priti MoreとSusmit Yenkarが、今夏ハニーポット（囮システム）を使って攻撃者のプロンプト一式を丸ごと入手することに成功した。攻撃者は本物のAIモデルが接続されていると思い込み、指示セットをそのまま送信してきた。

このツールの核心は、「盗んだモデルが単に質問に答えるのではなく、攻撃を計画し実行する」点にある。研究者らによれば、エージェントは認証なしで接続可能なモデルに接続した後、最大100,000ステップにわたって人間の承認なしに以下を自律的に実行するよう指示されていた。

• 新たな攻撃対象をスキャン
• Django、Jupyter、Laravelなど主要Webフレームワークの脆弱性を悪用
• データベースや認証情報を窃取
• 暗号通貨マイナーをひそかにインストール

攻撃対象は、デフォルトで公開状態になっているセルフホスト型モデルサーバー、企業の有料APIアカウントへのゲートウェイ、急ごしらえの内部テスト環境、そしてModel Context Protocol（MCP）サーバーなど多岐にわたる。ほぼすべてのAIツールがOpenAI互換インターフェースを採用しているため、単一のスキャナーでこれらすべてを一括して探索できる。

コストを被害者に押し付ける構造

「LLMjacking」という言葉は、2024年にSysdigの研究チームが同名の攻撃手法を報告した際に広く知られるようになった概念だ。当初は盗んだクラウド認証情報を使ってLLM APIを不正利用するケースが中心だったが、今回確認されたツールはその自動化・自律化が際立っている。

攻撃者が他者のエンドポイントや盗んだAPIキー経由でリクエストを流すことで、推論コスト（セルフホストなら計算リソース費、商用モデルならトークン課金）は被害者側に発生する。攻撃者は匿名性を保ったまま、プロバイダーからの利用停止も回避できる。

ハニーポットの監視期間中には、数万の一意なIPアドレスから12万7,000件超のリクエストが記録された。その大半はモデルエンドポイントへの偵察、盗まれたAPIキーを使った試行、設定ファイルへの探索だった。

商用モデルを従わせるジェイルブレイク

商用モデルに協力させるため、攻撃者はリクエストをジェイルブレイクで包んでいた。その内容は巧妙で、以下の2層構造になっている。

第1層：設定ファイル（.env）、APIキー、データベーススキーマの読み取りを「通常の開発作業」として定義し、モデルが拒否や警告をしないよう誘導する。

第2層：モデルを「自分に献身的な仮想の仲間」として演じさせ、拒否を「裏切り」として位置づける。コードの返答から「illegal」「ethical」「I can't」といった語を禁止している。

プロンプトには約74個のツール定義が含まれており、インターネット規模のスキャン、各種フレームワークへのエクスプロイト、データベースのダンプ、ボットネット制御などが網羅されていた。

さらに「Skynetモード」と呼ばれるディレクティブが設けられており、モデルが許可を求めずにツールを実行し、スキャン・感染・マイナーのデプロイを自律的に継続するよう命じていた。この名称は映画『ターミネーター』に登場する自律型AIシステム「Skynet」を想起させるものであり、攻撃者自身がそう命名している点は、意図的に「人間の制御を必要としない自律性」を誇示しているとも読める。

カメラサーバーを狙うマイナー

エージェントのプロンプトがハニーポットに届いた翌日、別のIPアドレスから第2のリクエストが届いた。デコードすると、オープンソースのMoneroマイニングソフト**XMRig**をダウンロード・コンパイルするシェルスクリプトだった。

このスクリプトはカメラサーバーを想定して書かれており、スマートカメラゲートウェイやHome Assistantで使われる映像ストリーミングサーバー「go2rtc」のディレクトリを探し、そこにマイナーを.traceという名前で隠すよう設計されていた。

エンジニアへの示唆

研究者らはこう結論づけている。「個々の手法は目新しくない。際立っているのは、それらを単一の自律エージェントに組み合わせた点だ。攻撃者がモデルにゴールを渡すだけで広範な攻撃キャンペーンを実行できるため、必要なスキルが大幅に下がる」

Symantecは警告を加えている。「AIサービス、モデルゲートウェイ、MCPサーバーを立ち上げた組織は、公開直後に発見・テストされることを前提とすべきだ。認証なしのエンドポイントは、攻撃者が積極的に狩りに来るリソースになっている」

この警告を踏まえると、AIインフラを運用するエンジニアが今すぐ確認すべき観点はいくつかある。エンドポイントの認証設定については、OllamaやLM Studioなどのセルフホスト型サーバーはデフォルトで認証なしの状態で起動するものが多く、ファイアウォールやリバースプロキシによるアクセス制限が必須だ。APIキーの管理については、.envファイルや設定ファイルをリポジトリに含めないことはもちろん、キーのスコープを最小権限に絞り、定期的なローテーションを運用に組み込むべきだろう。ネットワーク分離の観点では、MCPサーバーや内部テスト環境をインターネットに直接露出させず、VPNやゼロトラストアーキテクチャの内側に置くことが有効な防御となる。また、コスト監視も見落とされがちな防衛線であり、商用APIの利用量に異常なスパイクが発生した場合のアラートを設定しておくことで、被害を早期に検知できる可能性がある。

詳細はHackers hijack exposed AI models to launch cyberattacks at victims' expenseを参照していただきたい。