攻撃エージェントが盗用した379のLLMアップストリームを単一ゲートウェイに集約、自己フィードバック型の推論サプライチェーンを形成

SANS Internet Storm Centerの研究者Renato Marinhoは9月11日、ハニーポットの記録を公開した。攻撃者のプログラムエージェントが、OpenAI APIを模したハニーポットを無料のモデルバックエンドと誤認したものだ。クライアントがシステム指示やセッションコンテキストも含めてリクエストを送信するため、研究者は一度に約43 KBのデータを入手した。そこには`AGENTS.md`、攻撃手順書、偵察プログラム、収集済みのキー、履歴の一部が含まれていた。

このワークフローでは、まずFOFAクエリを使ってV2BoardなどのLLM再販インフラを探索し、公開登録、デフォルトパスワード、クライアント側の`group_id`を信頼する認可上の欠陥、公開されたアカウントエンドポイントを試す。トライアルアカウントは、一時メールとCAPTCHAサービスを利用して一括作成することも可能だった。キーを取得すると、エージェントはアップストリームを呼び出し、単純な階乗問題によって固定応答や機能していないエンドポイントを除外する。研究者は、攻撃者が約379のアップストリームをセルフホスト型のNew APIゲートウェイへ取り込んでいることを確認した。このうち341はテスト失敗後に無効化され、残るチャネルは5つの標準モデル名にマッピングされ、優先度ベースのラウンドロビンと自動フェイルオーバーが適用されていた。ただし、モデル名は再販業者の申告に基づくものにすぎず、バックエンドが実際に同名のモデルであることを証明するものではない。

本当に注目すべき点は、このフィードバックループにある。エージェントは新たな推論クォータを取得し、それを統一された形でラップしたうえで、後続の活動を支援するために再利用できる。これはSysdigが以前報告したLLMjackingを拡張するものだ。単なるクラウドクォータの盗用から、盗まれたコンピューティングリソースを攻撃ツールや再販用の供給源へ転換する段階に進んでいる。ただし、証拠が示しているのは一度のハニーポット観測にすぎず、人間が継続的に指示を与えていたため、これを自律的に増殖するシステムと呼ぶことはできない。

エンジニアリングチームは、モデルゲートウェイをデータベースや決済APIと同等に扱うべきだ。公開登録に付与されるデフォルトクォータを無効化し、クライアントが提供するグループや価格フィールドを認可の根拠として受け入れず、モデルカタログとアカウントエンドポイントへのアクセスを制限し、漏えいが疑われるキーをローテーションする必要がある。また、大量のアカウント登録、複数のアップストリームにまたがるプロービング、異常に低コストな検証リクエストを検知すべきだ。安価なエージェントを利用する開発者も、コード全体、ツールの実行結果、エージェントの状態がアップストリームへ送信される可能性を前提にする必要がある。