攻撃エージェントがモデルサービスを狩る側に回った。2026年10月21日、Symantecの脅威調査チームは、大規模言語モデルを中核に据えた自律型攻撃エージェントの分析を公開した。このエージェントは認証のないモデルエンドポイントをネット全体で探し、侵入に成功すると他人のモデルと計算資源を使って新たな標的を走査し、一般的なサーバーソフトの脆弱性を突き、データベースや認証情報を盗み、採掘プログラムを静かに仕込む。Symantecは他人のモデル利用権を盗む手口をLLMjackingと呼ぶが、今回捕捉された版では、乗っ取られたモデル自体が攻撃全体の司令塔になっていた。
ハニーポットが受け取ったのは作戦書そのもの
発見のきっかけはAIハニーポットだった。Symantecが無防備なモデルサービスをおとりとして公開したところ、攻撃者は作業用プロンプト一式をそのまま送り込み、構造の全体像が研究者の手に渡った。ハニーポットは同梱ツールを一切実行せず、セッションは汎用的な応答の後に終わった。ログには数万のアドレスから12万7000件を超えるリクエストが残り、大半はモデル接続点の探索、盗まれたAPIキーの試行、公開された設定ファイルの探査だった。標的には自己ホスト型のモデルサーバー、急ごしらえのテスト環境、有料モデルアカウントの前段にあるAIゲートウェイ、実ツールとつながるMCPサーバーが含まれた。主流のAIサービスが共通インターフェースを使うため、一つのスキャナーで多くの種類の標的をカバーできる。
5層の脱獄指示と74の攻撃ツール
商用モデルを従わせるため、指示は5層に重ねられていた。実在の提供元を明かさない偽の身分、パスワードやAPIキーやデータベース内容の読み取りを通常の開発作業と再定義すること、拒否を裏切りと位置づける架空の相棒役、モデル自身の安全警告をノイズとして退け拒否語を明示的に禁じる指示である。5層目が武器で、約74のツール定義が、ネット全体の資産発見、VS Code、Django、Jupyter、Laravel、Supabase、Next.js、Flask向けの悪用モジュール、Prisma経由のデータベース全件取得、ボットネット制御機能を担っていた。
Skynetと呼ばれる自己持続ループ
最後の指令は最大10万ステップの無人実行を許可し、承認を待たずツールを即実行すること、採掘プログラムを目立たない場所に隠して稼働を確認し続けることを求めた。同じ指令には、走査、感染、採掘設置、移動、そして侵入済みの機器への再感染という循環も記されていた。捕捉された依頼に添えられた課題は無害なプログラミング練習問題で、運用者が安全な標的で試運転していた可能性を示す。翌日、別のアドレスから届いた第2の依頼はエージェント形式をやめ、難読化された命令の解読と実行だけを求めた。解読するとMonero採掘ソフトXMRigを落とすスクリプトで、システムファイルに偽装し、予備のマイニングプールを4つ備え、スマートカメラで使われるgo2rtcの格納場所を探し、アクセスログを繰り返し消していた。
被害は二重だ。接続点の所有者は10万ステップ分の推論費用を肩代わりし、侵入されたサーバーはデータと認証情報を失い、他人の採掘に使われる。個々の技術は目新しくないが、自己判断するエージェントに組み上げたことで大規模悪用の敷居は下がった。自前でモデルサービスやAIゲートウェイやMCPサーバーを運用するチームへの教訓は単純で、認証のない接続点は公開後まもなく見つかる。認証、鍵の管理、公開範囲の縮小を先送りする余地はもうない。
