何が起きたか
VulnCheckは（2026-10-18）、LobsterAIがエクスポートされたプロバイダーAPIキーをハードコードされた「lobsterai-APP」シークレットで暗号化しており、エクスポートファイルを持つ誰でもキーを導出して、保存されたすべてのAIプロバイダーAPIキーを復号できると公開しました。CVSS 5.5（v3.1）/ 6.8（v4.0）、CWE-321。
なぜ重要か
エクスポートされた設定を入手したローカル閲覧者が、AIプロバイダー使用量の請求に使用される生のAPIキーを回復でき、被害者のLLMアカウントの乗っ取りとコスト悪用を可能にします。
攻撃経路
プロバイダーAPIキーは定数「lobsterai-APP」パスワードで暗号化されています。プロバイダーエクスポートファイルを持つ攻撃者は、埋め込まれたソルトを使用してPBKDF2を介してAES-GCMキーを導出し（CWE-321ハードコードされたパスワード）、保存されたすべての第三者AIプロバイダーAPIキーを回復します。
影響を受けるシステム
netease-youdao LobsterAI 2026.10.16より前
緩和策
LobsterAI 2026.10.16（修正コミット1eb28c40d7e42d6cbade07874e6f6c068b6a9a64）にアップグレードし、エクスポートされたプロバイダーキーをローテーションしてください。