何が起きたか
SymantecはAIハニーポットを通じて、攻撃者が構築した自律型オフェンシブエージェントを捕捉した。これはインターネット上で露出したLLMエンドポイント — 保護されていないセルフホスト型モデルサーバー、有料モデルアカウントの前にあるAIゲートウェイ/リレー、急遽デプロイされた内部テストシステム、MCPサーバー — を検索し、それらを乗っ取って自身の運用を動かす。捕捉された命令セットは、74の呼び出し可能なオフェンシブツール（偵察、Prismaを介したデータベースダンプ、WerkzeugデバッガーPINを介したRCE、ボットネットC2管理）を持つ単一エージェントを定義し、最大100,000ステップ無人で実行するように構成されており、ターゲットのスキャン、一般的なWebフレームワークの悪用、データベースと認証情報の窃取、クリプトマイナーのインストールを行う。多層的なジェイルブレイクはモデルのアイデンティティを再定義し、認証情報窃取を日常的な開発作業として位置づけ、自身の安全メッセージを無視するよう指示する。被害者は各ステップごとにモデル計算コストを支払う。
なぜ重要か
これはAIスタック上に構築された生きた攻撃者インフラである：認証されていない、または認証情報を漏えいするモデルエンドポイントはもはや単なるコスト漏えいではなく、攻撃者が所有する無料のワーカーノードとなる。推論をネットワークに露出する、または盗まれたプロバイダーキーを保持するAIゲートウェイとMCPサーバーは、インターネット全体のスキャン、悪用、マイニングの pivot となり、モデル所有者がその費用を負担する。ハニーポットのテレメトリは、数万のアドレスからの127,000以上のリクエストを記録し、モデルエンドポイントの偵察とAPIキースプレーが支配的だった。
攻撃経路
露出した/認証情報を漏えいするLLMエンドポイントまたはゲートウェイをスキャンし、乗っ取ったモデルを駆使してスキャン、Webフレームワークの悪用、データベースダンプ、認証情報収集、マイナー展開を自己指示ループで実行する。
影響を受けるシステム
セルフホスト型LLMサーバー、AIゲートウェイ/リレー、MCPサーバー、および露出またはキー漏えいのあるレガシーOpenAI互換エンドポイント
緩和策
すべてのモデル提供エンドポイントとゲートウェイに認証を必須とし、漏えいしたプロバイダーキーをローテーションし、MCPサーバーの露出と外部ネットワーク通信を制限し、異常な推論量とマイナー関連活動を監視する。