SANS、AIエージェントがLLM利用枠を収奪・再販する攻撃基盤を確認 — ハニーポットが43KBの作戦手順を捕獲

要点

• SANS Internet Storm Center（ISC）のハンドラーであるRenato Marinho氏は2026年9月11日、攻撃者が半自律型のAIコーディングエージェントを使って攻撃作戦を回している実例を確認したと報告した。攻撃者は脆弱なLLM転売基盤を探し出し、通常のウェブの欠陥やアカウントの大量作成でAPI利用権を取得し、使える推論能力だけを選別して自前の配信基盤に集約していた。
• Marinho氏が運用するAIハニーポット（おとりの推論エンドポイント。OpenAI互換の応答を返す）が、このエージェントに無料のLLM接続先として繰り返し選ばれた。エージェントは要求に動作指示や作業記録を埋め込む作りだったため、ハニーポットは約43KBの資料を受信した。内容は大規模な AGENTS.md（エージェントへの指示書）、攻撃の手順書、基盤のメモ、偵察スクリプト、収集済みのAPIキー、過去の標的、作業履歴の一部だった。Marinho氏は「エージェントが制御基盤の一部をそのまま送ってきた」と説明している。
• 手順書にはプロキシが有効かを攻撃開始前に確認する指示があり、その確認処理が攻撃者のプロキシを経由しない素の送信元IPを露呈させた。手順書自体が比較用の基準値としてそのIPを記載していたため、特定につながった。
• 奪った利用枠の集約も実際に稼働していた。攻撃者はオープンソースの配信ソフト「New-API」を自前で立ち上げ、収集した認証情報で約379件の上流エンドポイントを接続先として登録した。簡易な正誤テスト（小さな階乗の計算）で使えない接続を除外し、341件を無効化した。残った接続に5つの標準的なモデル名を割り当て、優先度付きの順繰りと自動切り替えで配信した。最終的な探りで5つのモデル名すべてが単一のエンドポイント経由で有効な応答を返し、集約基盤が稼働していることが確認された。配信基盤側の速度制限が自動化を阻むと、エージェントはゲートウェイのSQLiteデータベースを直接編集し、セッション行の消去や管理者トークンの注入で制限を回避した。
• Marinho氏は、人間が全体を指揮しているため「部分的」に自己拡張する仕組みであり、完全な自律や自己複製は確認されていないと注意している。

攻撃の流れ：探す・奪う・確かめる・集めて配信する

捕獲した作業手順は単純で、次の段階を繰り返すものだった。

1つ目は供給源の探索だ。エージェントはFOFA（インターネットに公開された機器を検索するサービス）に title="V2Board" や header="subscription-userinfo" といった検索条件を生成し、LLMのゲートウェイや課金管理の基盤を探した。V2Boardは利用枠の販売管理に使われることがあるソフトウェアだ。

2つ目は利用権の取得だ。手順書は無料残高付きの開放登録、初期設定のままの認証情報、クライアントが送る group_id などの項目で認可を決めてしまう弱さ、/api/auth-files のような露出エンドポイントを狙うよう指示していた。使い捨てメールとCAPTCHA（画像認証）突破サービスで試用アカウントを自動作成する手順も含まれていた。

3つ目は推論能力の検証だ。エージェントは奪ったキーを転売サービスで試し、最新の高性能モデルをうたうエンドポイントから実際に使える応答が返るか確認した。Marinho氏は、エンドポイントが名乗るモデル名は転売業者の主張であり、背後にどのモデルがいるかを確認したものではないと注意している。一部のエンドポイントは異常に高い課金上限を初期設定のまま公開し、別のエンドポイントは認証なしで全モデル一覧を返していた。後の段階では「ファイルを編集できないモデルは偽物だ」という考え方で、簡易なプログラムの正誤テストを使い分けていた。

4つ目は集約と再配信だ。上記のとおりNew-APIに接続を束ね、5つのモデル名で提供した。集約ソフト自体は正規のオープンソースであり、悪用されているのは流し込まれた奪取済みの認証情報だとMarinho氏は説明している。

Marinho氏は、この構図が過去にSysdigが記録した「LLMjacking」（盗んだ推論能力で攻撃道具を動かす手口）の発展形だと指摘している。従来は「盗んだLLM利用権 → 攻撃道具」だったのに対し、今回は道具自体が次の利用権の獲得に参加し、奪った能力を集めて再配信する。エージェントの出力が、エージェントが使う能力のプールに流れ込む循環ができている。

Marinho氏が求める対応

• LLMのゲートウェイを運用する組織は、攻撃者の手順書が狙っていた条件を見直すよう求めている。具体的には、開始残高付きの開放登録、クライアントが送る項目（group_id など）で認可を決める設計、露出しているアカウント管理エンドポイント、初期設定のままの認証情報、認証なしで見えるモデルやアカウント情報、過大な初期課金上限だ。こうした確認作業が、人手ではなくエージェントによって継続的に実行され得ることを前提にすべきだと述べている。
• 無料や不自然に安いLLMプロキシを使う側への注意もある。道具や設定によっては、エージェントが上流に送る要求に AGENTS.md、プロジェクトの指示、ソースコードの文脈、コマンドの実行結果、ファイル名などの業務情報が含まれる。今回の攻撃者は信頼できない推論エンドポイントを選び、そのエンドポイントに作戦の大半が分かる文脈を送ってしまった。信頼できないLLMエンドポイントは、単なる質問の送り先ではなく、エージェントの業務状態の一部が送られる先として扱うべきだとMarinho氏は述べている。推論自体の費用はわずかでも、トークンに包まれた文脈の価値は大きい。

日本の読者への影響

日本国内でも生成AIの開発や業務利用で外部の推論エンドポイントや格安の転売サービスを使う組織がある。開発用エージェントに社外のエンドポイントを指定している場合、プロンプトだけでなく指示書やコードの文脈が上流に流れる恐れがある。Marinho氏の指摘に沿い、利用する推論サービスの提供元と、エージェントに渡す情報の範囲の確認が必要だ。自社でLLMのゲートウェイを公開している組織は、開放登録や初期認証情報、認証なしで返る情報の有無を点検することが求められる。

出典

• SANS Internet Storm Center, Renato Marinho, “The Self-Expanding Stolen Inference Supply Chain: An AI Agent Harvesting and Re-Serving LLM Access”（2026年9月11日）: https://isc.sans.edu/diary/rss/33332