生成AI需要の拡大を背景に、盗んだAPIキーを使ってAIモデルを不正利用する「LLMジャッキング」が広がっている。米Wall Street Journal（WSJ）によると、直近1カ月でRailwayを含む10社超のAI開発プラットフォームが攻撃を受け、短期間で巨額の利用料請求に発展した事例も確認された。

今回の攻撃では、個人情報の窃取やランサムウェアとは異なり、計算資源の不正利用が主な狙いとみられる。攻撃者はAPIキーなどの認証情報を盗み、米国の主要AIモデルへのアクセス権を悪用しているという。

Railwayの事案では、攻撃者が37万1000ドル（約5565万円）相当の暗号資産に加え、同社顧客のAPIキーも窃取した。その結果、Amazon Bedrock、OpenAI、Anthropic、Google Geminiなどのサービスで、少なくとも75万ドル（約1億1250万円）規模の利用料が発生したとWSJは伝えた。

サイバーセキュリティ企業R10N Securityが、Railway顧客から流出した認証情報による利用記録を分析したところ、盗まれたキーは3Dゲーム制作や不動産開発に関する調査など、さまざまな用途に使われていたという。

AIインフラ企業ZeaburでもAPIキーの盗難被害が発生し、10万ドル（約1500万円）の請求につながった。

Google Threat Intelligence Group（GTIG）とGoogle傘下のMandiantによると、企業のAIモデルへのアクセス権を盗み、不正利用したり他の攻撃者に転売したりする手口は「LLMジャッキング（LLMJacking）」と総称される。

他人の計算資源を継続的に使うクリプトジャッキングと比べ、LLMジャッキングは短期間で高額の請求を発生させやすい点が特徴だ。1日で不正利用額が10万ドル（約1500万円）を超えたケースもあり、不正アクセスを遮断するまでに被害総額が100万ドル（約1億5000万円）に達した企業もあった。

攻撃者の標的は大企業にも広がっている。最近の攻撃は、北米、南米、アジア太平洋地域の金融サービス、小売、テクノロジー、運輸関連企業を対象としていた。侵入手口としては、認証情報の窃取やセッションハイジャックが確認されている。

セッションハイジャックは、ログイン済みのセッションを乗っ取ってシステムにアクセスする手法を指す。攻撃者は、公開されたGitHubリポジトリに露出した認証情報も収集していた。

ある攻撃者は8時間足らずでLLM APIを50万回超呼び出した。呼び出し上限を回避するため、有効期間の短いサービスアカウントを次々に作成・削除する手口も使われたという。

Googleの分析では、攻撃者は盗んだ複数のAPIキーを単一の不正中継サーバーに集約し、AIモデルへのアクセスを闇市場で安価に販売して収益化している。利用者はAPIキーそのものを個別に購入するのではなく、この中継サーバーを経由してAIモデルを使っているとされる。

こうした不正なトークン中継サービスの一つでは、月額60ドル（約9000円）前後でフロンティアモデルを無制限に使えるとうたい、被害企業には100万ドル（約1億5000万円）規模の利用コストが請求されたとされる。

これらの仲介サイトは、中国、ロシア、イランなど、米国製AIモデルの利用が制限される国の利用者にもアクセスを販売している。Anthropicは最近、こうした仲介サイトが蒸留（distillation）技術を使って米国のAIモデルを複製する際にも利用されていると明らかにした。

蒸留とは、AnthropicやOpenAIなどのフロンティアAI企業による大規模モデルが生成したデータセットを用い、小規模モデルを学習させる手法を指す。

トークン不正利用防止サービスVectoralの創業者、マシュー・レンハード氏は「これらのサイトには毎月数千万件規模のアクセスがある」と述べ、「この事業で大金を稼ぐ者が出ている」と指摘した。

ブロックチェーン分析企業Chainalysisのアナリスト、クミ・ミタ氏は「米国のフロンティアAIモデルを安価に使えるようにする仲介サービスが、中国経済の一角として定着した」と述べ、「オンライン上で700超のサービスを確認した」と語った。

Chainalysisの分析によると、こうした仲介サイトの上位5サービスは、暗号資産で計600万ドル（約9億円）規模の収益を上げていた。

AIモデルへのアクセス権を狙い、クラウドベースのAI開発プラットフォームに集中する攻撃は10月初旬に始まり、いまも収束の兆しは見えていない。一時的な現象にとどまるのか、今後も継続するのかはなお不透明だ。

こうした状況について、AIソフトウェア開発プラットフォームOpenCodeの共同創業者、ダックス・ラッド氏は「こうした攻撃は止まらない」とした上で、「唯一持ちこたえられているのは、AIエージェントが24時間体制で対応しているからだ。チームメンバーもほとんど眠れていない」と述べた。

LLMジャッキングへの対策としては、脅威ハンティング、組織内で利用されている未承認LLMの把握、APIキー権限の細分化、自動化されたシークレットスキャンなどが挙げられる。

GTIGのシニアアナリスト、ジョン・ハルトクイスト氏は「攻撃者はエージェンティックツールを活用し、被害者が気付かないうちにトークンを奪って攻撃規模を拡大している」と指摘した。その上で「企業はLLMリソースへのアクセスを厳格に管理し、コストの急増を防ぐ必要がある。利用状況を継続的に点検し、多要素認証（MFA）を有効化するとともに、アカウント情報を慎重に管理すべきだ」と述べた。