10月31日、Futurum Groupが「Black October: LLMJacking Wave Exposes AI Infrastructure's Credential Crisis」と題した記事を公開した。2026年10月、9つのAI開発者プラットフォームが相次いでセキュリティインシデントを開示し、AIインフラのクレデンシャル管理における構造的な脆弱性が改めて浮き彫りになった。この一連の攻撃は「Black October」と呼ばれ、LLMジャッキングという手口の組織化・収益化がいかに進んでいるかを示す事例として業界に衝撃を与えた。

LLMジャッキング（LLMJacking）とは、窃取したAPIキーなどのクレデンシャルを使って大規模言語モデル（LLM）のAPIを不正に呼び出す攻撃手法だ。攻撃者は正規ユーザーになりすましてモデルを利用し、その費用を被害企業に負担させる。Wiz Researchが2023年に命名・報告したことで広く知られるようになった（Wiz Research 元レポート）。

1か月で9プラットフォーム、被害額10万ドル超

2026年10月、Fireworks AI、Lightning AI、Railway、Warp、Northflank、Zeabur、OpenCode、CommandCode、Andromedaの計9つのAI開発者プラットフォームがセキュリティインシデントを公表した。Wiz Researchはこの事態を「Black October」と命名し、詳細な分析レポートを公開している。

いずれのインシデントも、攻撃の起点となったのは環境変数に保存されたクレデンシャル（APIキーなどの認証情報）の窃取だ。特にAIサービスへのアクセス権を持つクレデンシャルが集中的に狙われた。

Fireworks、OpenCode、Warpはそれぞれいわゆる「エージェントスウォーム（agent swarm）」攻撃の痕跡を報告している。エージェントスウォームとは、複数の自律的なAIエージェントが協調して動作する構成を指すが、攻撃文脈では大量のエージェント的リクエストを同時並行で投入し、検知を困難にしながら短時間で膨大な呼び出しを実行する手口を意味する。Andromedaもこれを「業界全体への攻撃の一部」と表現している。

OpenCodeとCommandCodeは、自社の事案がモデルの「蒸留（distillation）」の試みに起因すると明示的に述べている。モデル蒸留とは、大規模な高性能モデル（教師モデル）の出力を使って小規模なモデル（生徒モデル）を訓練する技術だ。ここでは、不正に取得したAPIアクセスで大量の推論出力を収集し、独自モデルの学習データとして転用しようとした可能性を指している。

なお、Zeaburはインシデントの全経緯を公開した後、このインシデントを一因としてサービスのシャットダウンを発表した。

攻撃の速さと規模：数字で見る被害

今回の攻撃が従来のクレデンシャル窃取と異なるのは、初期侵害から悪用開始までの時間だ。

Wiz Researchが観測した2件の企業被害事例では、いずれもベンダー側のクレデンシャル漏洩が報告されてから30分以内に最初の不正アクティビティが発生している。最初のアクションは、住宅用IPアドレスからの単一のInvokeModel呼び出しによる、複数組織にまたがる窃取キーの検証だった。

Case Aでは、約30時間にわたってAmazon Bedrockへの呼び出しが約80万回発生し、そのうち約90%が成功。トラフィックの大半はOpusシリーズのモデルに集中し、Opus 5が36%、Opus 5.5が22%、Opus 4.8が10%を占めた。なお、ここで言及されているOpus 5、Opus 5.5、Opus 4.8はいずれも元記事が参照する2026年10月時点のモデルラインナップであり、現行の公開モデルとは異なる場合がある点に留意されたい。

Case Bでは、単一のLevel 3アドレスから13時間で約170万回のBedrock呼び出しが発生し、100万回超が成功。12種類のClaudeモデルに分散していた。

この2件だけで、定価換算10万ドル超の利用料が発生したとWiz Researchは推計している。なお、Railwayに保存されていたキーを悪用した暗号資産の窃取も報告されており、その額はソーシャルメディアで約37万1,000ドル相当と伝えられている。

トークン使用のプロファイルは、コーディングエージェントのトラフィックに類似しており、窃取クレデンシャルの転売市場（LLM Broker市場）が存在することとも整合する。盗んだAPIキーをブローカー経由で売りさばくことで即座に換金できる仕組みが、より多くの攻撃者をクレデンシャル窃取に引き寄せている構図だ。

根本問題：AIインフラのクレデンシャル管理

Wiz Researchの分析が示す通り、これらは個別の設定ミスではなく、AIインフラのクレデンシャル層を標的にした組織的・収益化済みのキャンペーンだ。

問題の核心は、多くのAI開発プラットフォームが環境変数にAPIキーを平文で保存しており、それが侵害された際の被害範囲（blast radius）が下流の企業まで広がる点にある。プラットフォームベンダー側の問題が、そのサービスを利用する企業のコスト爆発に直結する。

Futurumが2026年前半に実施した調査では、セキュリティ意思決定者の45.3%しか、自社のセキュリティチームがAIイニシアチブを適切に保護するためのスキル・予算・ツールを十分に持っていると回答していない。このギャップがBlack Octoberの遠因でもある。

今後の注目点

• LLM Broker市場の拡大：2027年Q1に追加の転売インフラが表面化するか
• 未公表プラットフォームの事後報告：NorthflankやCommandCodeが完全なインシデントレポートを公開するか
• 規制当局の動向：環境変数の取り扱いやクレデンシャルローテーションに関するガイダンスが出るか
• セキュリティ予算の動向：調査回答者の47.8%が5〜15%のサイバーセキュリティ予算増を計画しており、Black OctoberがAI特化ツールへの支出加速を促すか

Black Octoberが示したのは、AIインフラのセキュリティが「アプリケーション層の問題」にとどまらず、クレデンシャル管理という基盤レベルの課題であるという現実だ。攻撃の組織化と収益化が進む中、プラットフォームベンダーと利用企業の双方が対策を急ぐ局面に入っている。

詳細はBlack October: LLMJacking Wave Exposes AI Infrastructure's Credential Crisisを参照していただきたい。