8月28日、GBHackersが「Attackers Exploit MCP RCE, Blind Prompt Injection and Memory Credential Theft Against AI Infrastructure」と題した記事を公開した。一次情報はWiz Threat Researchの調査レポート（原著レポート）であり、AIインフラを標的にしたMCP経由のRCE・ブラインドプロンプトインジェクション・プロセスメモリからの認証情報窃取という3つの実被害事例を90日間のハニーポット観測によって記録した内容だ。「AIインフラはまだ攻撃者に狙われていない」という認識はすでに過去のものであり、本記事はその前提を覆す具体的な証拠を示している。
AIインフラが「高価値な侵入口」になっている
Wizの2026年クラウドAIレポートによれば、クラウド環境の90%がセルフホスト型AIソフトウェアを稼働させており、81%がマネージドAIサービス、63%が独自モデルをホストしている。AIプロキシやエージェントはユーザー・モデル・クラウドID・MCPツール・内部APIの間に位置するため、1つのコンポーネントが露出するだけで認証情報の窃取とラテラルムーブメント（横断的侵害）への入り口になりうる。
Wiz Threat Researchは、LiteLLM・Flowise・LangChain・Langflow・ChromaDB・Ollamaを含むAI/MLサービスに対し、90日間のハニーポット観測を実施した。その結果、攻撃者がAIスタックの内部構造を理解した上で偵察・認証情報窃取・ペイロード偽装を行っていることが判明した。
攻撃手法①：LiteLLM MCP経由のRCE（CVE-2026-42271）
最も直接的な攻撃は、**LiteLLM** のMCP機能を標的にしたものだ。
CVE-2026-42271 は、LiteLLM MCPサーバーのプレビューエンドポイントにおけるコマンドインジェクション脆弱性である。該当エンドポイントはcommandフィールドを含むMCP設定を受け付け、接続テスト時にそのコマンドを実行する。影響範囲はLiteLLMバージョン1.74.2〜1.83.6で、1.83.7で修正された。この脆弱性は2026年6月にCISAのKnown Exploited Vulnerabilities（KEV）カタログに追加されている。
ハニーポットでは、攻撃者が悪意あるstdioベースのMCP設定を送り込み、XMRig（Monero採掘マイナー）をダウンロード・起動させた。ペイロードは一時的な隠しディレクトリを使用し、マイナーをデタッチプロセスとして起動後、ステージングディレクトリを削除してフォレンジック証拠を最小化する設計だった。
さらに、認証バイパス脆弱性 CVE-2026-59822（偽のAuthorizationヘッダーによりOAuth2フォールバックが誤作動し、有効なLiteLLMキーなしでMCPツールへのリクエストが通る）と、Starletteのホストヘッダー検証バイパス CVE-2026-48710 との組み合わせにより、認証済みRCEが未認証での侵害パスに転換されることも確認されている。
攻撃手法②：ブラインドプロンプトインジェクション
LangChain・Flowise・OpenWebUI・Node-REDを標的にした攻撃では、ブラインドプロンプトインジェクションが用いられた。
通常のプロンプトインジェクションと異なり、出力を直接確認しない手法だ。代わりに、シェルアクセスを持つエージェントに対し、攻撃者が管理するOAST（Out-of-Band Application Security Testing：帯域外通信を用いた脆弱性検証技術）ドメインへのDNSリクエストを発行させる。DNSコールバックが届けば、注入した命令が実行可能なツールに到達したことが証明できる——アプリケーションインターフェイスに出力を露出させることなく。
追加のペイロードはBase64エンコードで難読化されて外部サービスから取得され、シンプルなプロンプトフィルタやアプリケーションログによる検出を回避していた。
最終的に成功したセッションでは、Node.jsやエージェントフレームワーク環境に溶け込むよう設計されたディレクトリにXMRigがステージングされた。プロンプトインジェクションが単なるモデル挙動の問題でなく、エージェントがシェルやネットワークツールを呼び出せる環境ではインフラ侵害の問題になることを示している。
攻撃手法③：AIネイティブなポストエクスプロイテーション
3つ目の手法が特に危険だ。攻撃者はSSHキーやクラウドメタデータといった一般的な情報収集にとどまらず、LiteLLMがロードしているPythonモジュールの状態を問い合わせ、プロキシマスターキーを回収した。
AIゲートウェイはOpenAI・Anthropic・Azure・Google GeminiのAPIキー、クラウドIAM権限、MCP接続された内部サービスへのアクセスを一元管理していることが多い。プロキシを掌握した攻撃者は、どのバックエンドモデルに到達可能かを把握し、認証情報を窃取し、推論クォータを消費するLLMjacking（窃取したAPIキーを使って攻撃者が推論リソースを不正利用する手口）を実行し、接続された企業システムへ侵害を拡大できる。
また、Langflowを標的にしたケースでは、マイナーが/app/data/.claude/以下にunicornという名前でステージングされていた。Claude Codeの関連アーティファクトを模したフレームワーク認識型の偽装で、管理者の目視チェックをすり抜ける意図がある。
検出指標（IOC）
| インジケーター | 種別 | 説明 |
|---|---|---|
| 185.62.1[.]8 | IP | マルウェアダウンロードサーバー（LiteLLM/MCPキャンペーン） |
| 185.84.98[.]85 | IP | クリプトマイナーC2 |
| pool.hashvault[.]pro | ドメイン | Moneroマイニングプール（複数キャンペーン） |
| crazyeltonproxy[.]top | ドメイン | Moneroマイニングプロキシ（LangChain + Node-RED） |
| 94.26.106[.]29 | IP | Langflowバイナリステージング |
※IPアドレスとドメインは意図的にdefang（無害化：URLやIPの一部を括弧等で置換し、誤クリックや自動解析ツールによる意図せぬ接続を防ぐ処理）表記している。MISPやVirusTotal、SIEMなどの管理された脅威インテリジェンスプラットフォーム内でのみrefang（元の表記に戻す処理）すること。
推奨される対策
- LiteLLMを1.83.7以降に即時アップグレードし、プロバイダーおよびプロキシ認証情報をローテーション
- インターネットに公開されているAIコンポーネントをすべてインベントリ化し、所有者・監視・パッチ適用責任を明確化
- LiteLLM MCPルートおよびプレビューエンドポイントは不要であれば無効化または制限
- MCPサービスは認証済みかつネットワーク制限されたリバースプロキシの背後に配置
- AIサーバーがシェル・Pythonワンライナー・ダウンロードユーティリティ・Base64デコーダー・予期しない外向きDNSトラフィックを発生させた場合のアラートを設定
「AIインフラは実験的ツールではなく、認証情報が密集した本番インフラとして保護すべきだ」というのが本記事の結論だ。Wiz Threat Researchの原著レポートも合わせて参照することを推奨する。
詳細はAttackers Exploit MCP RCE, Blind Prompt Injection and Memory Credential Theft Against AI Infrastructureを参照していただきたい。
