だが、両社からの報告を落ち着いて読むと、そこに書いてあったのは珍しい手法ではなかった。下見をし、開いた穴から入り、拾った鍵で奥へ進むという、人間による攻撃者が長年繰り返してきた、定石どおりの段取りだったのである。
新しい魔法は、1つも使われていないのだろうか。いや、1点だけある。「速さ」だ。標的の見当をつけるところから答えをさらうまで、その一部始終を「機械の速さ」で走り抜けた。人間のチームなら試行錯誤し数週間を溶かす下見と試行を、機械は休みも眠りもせず、週末のうちに押し切ってしまう。
だから、報道の「暴走」という表現では解像度が低い。正確に言い直すならば、「疲れを知らず休みもとらない“腕の立つ侵入者”が、この世に増えた」ということだ。
破られたのは｢特別な壁｣ではない
今回、破られたのは、難攻不落の壁に開いた小さな穴ではない。外から届くデータを受け取って処理する、ごく普通の入り口に前から潜んでいたバグだ。
原理としては、侵入されたHugging Faceのシステムは、外部から送られてきたデータの中身を、危ないものが交じっていないかろくに確かめないまま取り込んだ。古典的な保護手法である「入力値の検証」という基本的防御が抜けていた。その結果、システムの内側で勝手にプログラムを走らせることを許してしまった。
また、OpenAIのAIエージェントがHugging Faceへ向かう途中で「踏み台」にしたのは、あるクラウド上に放置されていた外部の試験環境だった。そこは「ExploitGym」と同類の、AIの脆弱性をテストするための環境だったが、あろうことか認証がかけられておらず、誰でもプログラムを実行できる状態だった。AIはこの自由な環境を攻撃の足場としてフル活用したのだ。
これは他人事ではない。ずっと以前から、サイバー攻撃の「踏み台」として、認証の甘いクラウドサーバ環境が悪用されることは珍しくないのだ。システム間のAPI連携やクラウド環境には、「認証トークン」という接続認証用の文字列を用いるが、この「鍵」さえあれば利用できる仕組みが多い。
そこに拍車をかけるのが、AIエージェントブームだ。本来はシークレットマネージャーを使うべきだが、多くの開発現場ではこの「認証トークン」が暗号化もされず、平文のままファイルに書き残されるケースが増えている。
そして今、この「認証トークン」が狙われている。例えば、AIエージェントを操作するアプリのプラグインなどを経由してトークンが盗み取られ、サービスの「利用権」が悪用される事案が相次いでいるのだ。攻撃者は、こうした現場の脇の甘さを熟知しており、いわば「玄関マットの下に置いてある鍵」を平然と拾って侵入している。
