利用者のAIの鍵を預かる開発基盤で、10月だけで9社が侵害を公表しました。最後の1社となったNorthflankは、警告を受けてから約2時間で「すべての秘密情報を替えてほしい」と利用者に求めています。同じ日には、Binanceの流出を分析した側のChainalysisも、AIエージェントの技術を使う攻撃者に侵入されたと公表しました。
クラウドセキュリティ企業のWizは2026年10月30日、10月にAI開発基盤9社が侵害を公表したとまとめた。共通するのは、利用者が預けた環境変数、とくにAIを使うための認証情報が狙われた点である。同じ日、クラウド基盤のNorthflankは、Wizからの警告を受けてすべての秘密情報の更新を求め、その後、利用者が預けたAIのAPIキーが不正に使われたとの報告があったと伝えた。
ブロックチェーン分析のChainalysisも同日、外部の攻撃者が「攻撃的なエージェント技術」を使って社内システムに侵入し、顧客の氏名やメールアドレスなどを閲覧したと公表した。Wizは、盗まれた企業の鍵でAmazon Bedrockが13時間に約170万回呼び出された例を挙げている。
10月、AIアプリを作って動かすための開発基盤で、侵害の公表が途切れなく続きました。Fireworks AI、Zeabur、Lightning AI、Railway、そして10月30日のNorthflank。ひとつずつ読むと別々の事故に見えますが、Wizのまとめを通すと、攻撃者が探していたものが共通して見えてきます。AIを使うための鍵です。
同じ10月には、攻撃する側がAIを使う例も相次ぎました。AIによる侵入テストツール「ARTEX」が韓国と日本を狙った攻撃基盤で見つかった件（関連記事）、その同じツールで中国の国家系とされる集団が2,250を超えるテナントにログインを試みた件（関連記事）、AIの中継ソフト「LiteLLM」の配布物に情報を盗むマルウェアが仕込まれた件（関連記事）は、innovaTopiaでも個別の記事として伝えてきました。ここでは、Wiz、Northflank、Chainalysisと各社の10月の公表資料でそれらをつなぎ直し、「何が狙われ、何が使われたのか」を読み解きます。
【参考動画】
11月1日に公開したセキュリティの記事5本を、伊野部トピ子が約8分の動画で整理しました。
10月の主な動き
| 日付 | 出来事 | 関連記事／出典 |
|---|---|---|
| 10月6日 | Fireworks AIが社内の認証情報の不正使用を検知。評価ジョブの環境変数が対象に | Fireworks AI |
| 10月8日 | のちにZeaburの攻撃で使われたIPアドレスに結び付くサブドメインで、「ARTEX」のコンソールのページが動いていた（Wizの指摘） | Wiz |
| 10月14〜15日 | Zeaburで侵入。15日に利用者の報告から調査を開始（いずれもUTC） | Zeabur |
| 10月15日 | Lightning AIが、認証情報への不正アクセスを伴うインシデントを検知（UTC） | Lightning AI |
| 10月16〜17日 | OpenCodeが侵害を公表（Wizの一覧による） | Wiz |
| 10月19日 | GMOサイバーセキュリティ byイエラエ、日本企業を狙った攻撃基盤でARTEXを確認と発表 | 関連記事 |
| 10月21日 | Railwayが環境変数の保存システムでの異常を公表 | Railway |
| 10月21日 | LiteLLM 1.107.0の汚染版が配布される | 関連記事 |
| 10月21日 | Microsoft、Storm-0940がARTEXでConnectWiseの顧客テナントを狙ったと評価 | 関連記事 |
| 10月23日 | Warpが侵害を公表（Wizの一覧による） | Wiz |
| 10月28日 | CommandCodeが侵害を公表（Wizの一覧による） | Wiz |
| 10月29日 | Binanceのホットウォレットから約63億ドル相当が不正に出金される | 関連記事 |
| 10月30日 | Wizの警告を受け、Northflankがすべての秘密情報の更新を要請 | Northflank |
| 10月30日 | Wiz、10月のAI開発基盤の侵害9件を「Black October」としてまとめる | Wiz |
| 10月30日 | Chainalysis、エージェント技術を使った攻撃者による侵入を公表 | Chainalysis |
Wizが数えた9件、狙われたのは「AIの鍵」
Wizが10月30日に公表したまとめには、10月に侵害を公表したAI開発基盤が9社並んでいます。Fireworks AI、Andromeda、Zeabur、Lightning AI、OpenCode、Railway、Warp、CommandCode、Northflankです。Wizは、9件を1つの脆弱性や共通の部品で結び付けることはできないとしています。そのうえで、公開された報告に共通する点として、保存された環境変数、とりわけAIを使える認証情報を探す攻撃を挙げました。
環境変数に預けた鍵
環境変数は、アプリが動くときに外から渡す設定値です。データベースの接続先やパスワード、外部サービスのAPIキーをコードに書き込まず、基盤側に預けておくために使われます。開発基盤にとっては、利用者から預かる「鍵束」にあたります。
各社の公表は、この鍵束が狙われたことを示しています。Railwayは10月21日、環境変数を保存するシステムで異常を検知したと公表しました。暗号化された環境変数への不正なアクセスと、その一部で復号された中身が取得されたことの両方を、可能性として挙げています。Railwayは、AIの推論サービスを狙ってプラットフォーム企業を次々に攻撃する流れの一部とみています。Fireworks AIでは、評価ジョブに渡された環境変数が、限られた顧客アカウントで第三者に読まれていました。
詳しい報告を公開したのはZeaburです。調査の途中の予備報告という位置づけですが、分単位のタイムラインまで載せています。期限のない管理者トークンが平文で保存され、インターネットから使える状態だったことを、自社の原因として認めています。プラットフォームのデータベースからは環境変数321万8,965件とアカウント32万1,810件が読まれました。Zeaburは、攻撃者がそのまま使えるAPIキー、とくにAIサービスの鍵を主に探していたと説明しています。Zeaburは12月31日でのサービス終了を発表しました。
盗まれた鍵は、すぐに使われる
AIの鍵が狙われる理由について、Wizは「LLMjacking」の広がりを挙げています。盗んだ認証情報で、他人の費用でAIモデルを使う行為です。盗まれた鍵を使ってAIモデルの利用を安く売る業者もあります。Wizは、こうした市場が盗みを換金しやすくし、認証情報を狙う攻撃者を増やしている可能性が高いとみています。Wizによると、OpenCodeとCommandCodeは、他社のモデルの出力を集めて自社モデルの学習に使う「蒸留」を目的とした攻撃だったと説明しています。
Wizは、企業から盗まれた鍵でAmazon Bedrockが使われた2つの事例を観測しました。1つ目は、鍵が取られてから30分以内に使えるか確かめられ、約30時間で約80万回呼び出されました。2つ目は、確かめられてから7日後に転売業者のものとみられる鍵の集まりに現れ、13時間で約170万回呼び出されています。いずれも成功した呼び出しの多くは、Claude Opus 5.5やOpus 5などの上位モデルでした。Wizは、2件で定価換算10万ドルを超える利用になった可能性が高いとしています。
2つ目の事例の鍵は、米国内の複数の地域に振り分ける設定（us.*）でしか使えないよう制限されていました。最初は世界の地域に振り分ける設定（global.*）での呼び出しが4時間にわたって失敗し、us.*に切り替えたあとも、成功しなかった呼び出しのほとんどは地域ごとの上限で止められています。1つ目の事例の鍵はglobal.*を許していたため、負荷が地域に分散し、上限で止められた（スロットリングされた）呼び出しは約6%でした。鍵にどこまでの権限を持たせていたかが、不正な呼び出しの通りやすさを左右しています。
Northflank、Wizの警告から約2時間で「すべて更新を」
Northflankのステータスページによると、最初の知らせは10月30日11時43分（UTC、日本時間20時43分）、Wizからの脅威アラートでした。同社は1分後に確認し、12時2分からネットワークのポリシーを順に修正し、13時にWizのインシデント対応チームに支援を求めています。
13時58分には、環境変数は復号されたとみなし、すべての鍵を無効にするか更新するよう利用者に求めました。その後、複数の利用者から、預けていたAIの鍵が使われたという報告が届いています。Northflankは、AIのプロバイダー側で鍵を失効させ、使用量と請求の記録を確かめるよう案内し、Wizの「Black October」にも触れて、似たIPアドレスとAIの認証情報を狙う流れを指摘しました。
対応は利用者の手間を減らす方向にも進んでいます。PostgreSQL、MongoDB、MySQL、Redisの秘密情報を更新する機能を全利用者に開放し、10月31日には監査ログを無料プランを含む全顧客で有効にしました。侵入の経路や影響を受けた利用者の数は、10月31日時点で公表されていません。
Chainalysis、エージェント技術を使った侵入
同じ10月30日、Chainalysisは、外部の攻撃者が「offensive agentic techniques（攻撃的なエージェント技術）」を使い、社内システムと内部ツールに不正にアクセスしたと公表しました。検知したのは10月中で、ここ数週間に多くのテック企業が受けたのと同様の攻撃だったとしています。
閲覧されたのは、プラットフォームに登録されたユーザーのID、氏名、メールアドレス、組織内の役職の区分です。一方で、調査の中身（グラフやメモ、案件）、取引や照会の結果、平文のパスワード、多要素認証の秘密情報、セッショントークンにアクセスされた形跡は、現時点で見つかっていないとしています。
Chainalysisは、外部の専門家とともに調べを進め、大規模言語モデルも使ってプラットフォーム全体のセキュリティを見直しています。攻撃する側と守る側の両方でAIが使われた事例です。利用者には、身に覚えのないパスワード再設定や認証の要求に注意し、2要素認証を有効にするよう呼びかけました。どの脆弱性が使われ、エージェントが攻撃のどこを担ったのかは、まだ公表されていません。
Chainalysisは、10月31日にお伝えしたBinanceの流出（関連記事）で、北朝鮮の集団TraderTraitorによるものと評価した分析会社の一つです。Chainalysisは、今回の侵入はBinanceの件とは関係がないと明記しています。
「AIで攻める」と「AIの鍵を盗む」、2本の線
ここまでの事案は、2本の線に整理できます。1本目は、攻撃する側がAIエージェントを使う線です。Chainalysisの侵入がこれにあたります。Wizのまとめでは、OpenCodeやWarpなども「エージェントの群れ（agent swarm）」による攻撃の兆候を挙げています。2本目は、AIを使うための鍵が盗まれ、不正に使われる線です。Northflank、Railway、Zeaburの事案と、Bedrockの悪用がこちらに入ります。盗まれた鍵を使える転売業者も確認されていますが、最初に侵入した攻撃者との関係は確定していません。
転売業者のサーバーに「ARTEX」の名
2本の線が交わるかもしれない手がかりを、Wizは1つ示しています。Bedrockの2つの事例の鍵を持っていた転売業者のIPアドレスは、Zeaburが攻撃に使われたと公表したアドレスと同じでした。そして、そのアドレスを指すサブドメインで、10月8日に「ARTEX — autonomous penetration testing console」という題のページが動いていたといいます。
ARTEXは、韓国の金融機関と日本企業を狙った攻撃基盤で見つかり（関連記事）、MicrosoftがStorm-0940の攻撃に使われたと評価した、AIによる侵入テストのツールです（関連記事）。もともとオープンソースとして公開されていた道具で、作者は10月8日に更新の停止とクローズドソース化を告知しています。すでに公開されたコードを使う攻撃者が、一つとは限りません。Wiz自身も、このアドレスとBlack Octoberの攻撃を直接結び付ける証拠はないと書いています。同じ道具の名前が見つかったことと、同じ攻撃者であることは別の話です。
LiteLLMも、同じ鍵束を狙っていた
10月21日に汚染版が配布されたLiteLLM（関連記事）は、Wizの9件には数えられていません。ただ、仕込まれたマルウェアが集めようとしたものは重なります。Linuxで読み取れる範囲のほかのプロセスの環境変数、クラウドの認証情報、そして接続先が設定されていればLiteLLMのデータベースに保存された各社のAPIキーです。LiteLLMは、複数のAIモデルを同じ書き方で呼び出すための中継役で、まさにAIの鍵が集まる場所にあります。
従量課金のAIサービスでは、盗まれた鍵で使われた分が利用者の負担になりえます。その鍵を使ったアクセスを転売する市場もあります。開発基盤や中継ソフト、それらを動かす端末やサーバーまで、10月は鍵が置かれるさまざまな場所が攻撃の対象になりました。
鍵を預ける側にできること
Northflankと各社の案内には、利用者が今日からできることが並んでいます。まず、鍵の更新は基盤側で値を消すだけでは終わりません。Fireworks AIが書いているとおり、保存した値を削除しても、鍵そのものは無効になりません。発行元のプロバイダーで失効させ、新しい鍵を作るところまでが一続きです。そのうえで、AIのプロバイダーの使用量と請求の記録を確かめます。
もう一つの手がかりは、Bedrockの2つの事例が示した権限の差です。鍵が使えるモデルや地域を必要な範囲に絞れば、不正に使える範囲を狭められます。利用量や費用については、サービスが用意するレート制限や利用上限を別に設定し、使用量と請求を見張ります。予算のアラートは気づくための仕組みで、それだけで利用が止まるわけではありません。
AIの開発基盤は、モデルを呼び出す鍵、データベース、コードの置き場をひとまとめに預かることで、開発の速さを支えてきました。10月の一連の事案は、その便利さと引き換えに、鍵の扱いがこれまで以上に重くなったことを示しています。Northflankが監査ログを無料プランにまで広げたように、預かる側の仕組みも、この1か月で目に見えて変わり始めています。 攻撃にAIが使われる時代に、鍵の権限を絞り、すぐに替えられるようにしておくことは、AIを使いこなす側の基本の作法になっていきそうです。
【関連記事】
【解説】相次ぐ不正アクセスの攻撃元にAIツール「ARTEX」、入口は公開アプリの解析 NICT・IPAも対応
MicrosoftがConnectWise侵害を中国国家系と評価 Storm-0940がAI「ARTEX」で2,250超のテナントにログイン試行
LiteLLM 1.107.0に情報窃取マルウェア、PyPIとDockerで配布
Binance、約63億ドル流出で出金停止 秘密鍵漏えいの証拠なく全額補償へ
Claude Mythos 5が評価中に実在のGitHubを攻撃、AnthropicとAISIが事後分析を公表
【解説】OpenAIの評価AIが越えた3つの境界｜サンドボックスからModal顧客環境を経てHugging Faceへ
【編集部後記】
Zeaburの報告のタイムラインは、10月ではなく2024年1月10日から始まっています。期限のない管理者トークンが作られた日です。そのトークンは今年1月に設定を管理するリポジトリへ平文で書き込まれ、10月14日に攻撃者の手で使われました。
AIエージェントによる攻撃の速さが話題になった10月でしたが、開いていた扉は2年以上前に作られていました。手元の鍵束に、いつ誰が作ったか分からないまま残っている鍵はないでしょうか。
【用語解説】
環境変数
アプリが動くときに外から渡す設定値。データベースのパスワードや外部サービスのAPIキーをコードに書かずに済むよう、開発基盤に預けて使うことが多い。
APIキー
外部のサービスを呼び出すときに、利用者を識別するための文字列。従量課金のAIサービスでは、盗まれた鍵で使われた分の料金が利用者の負担になりうる。
LLMjacking
盗んだ認証情報を使い、他人の費用で大規模言語モデル（LLM）を利用する行為。盗まれた鍵を使ったAIの利用を安く売る業者もある。
蒸留（ディスティレーション）
大きなAIモデルの出力を大量に集め、それを手本に別のモデルを学習させる手法。他社のモデルに対して無断で行うことが問題になっている。
AIエージェント
目標を与えられると、手順を自分で組み立て、ツールを使いながら作業を進めるAIの仕組み。攻撃に使われると、偵察から侵入までの作業を高速で繰り返せる。
監査ログ
誰が、いつ、何の操作をしたかを記録したもの。不正な操作の有無や範囲を後から確かめる手がかりになる。
TraderTraitor
北朝鮮のハッカー集団の呼び名。暗号資産の取引所や関連企業を狙った攻撃に関わったと、米国や日本の捜査機関が名指ししてきた。
【参考リンク】
Wiz｜“Black October” for AI Developer Platforms（外部）
Wizが10月30日に公表した分析。10月に侵害を公表したAI開発基盤9社の一覧と、盗まれた鍵によるBedrockの悪用の事例を示している
Northflank｜Security incident（外部）
Northflankの障害情報のページ。Wizの警告を受けた10月30日からの対応の経過と、秘密情報の更新の案内を時刻順に載せている
Chainalysis｜Chainalysis Security Incident Information（外部）
Chainalysisが10月30日に公表した侵害の説明。閲覧された顧客情報の項目と、形跡がない情報、利用者への呼びかけを記している
Railway｜Security Disclosure: Wednesday October 21st（外部）
Railwayが10月21日に公表した侵害の第一報。環境変数を保存するシステムでの異常と、すべての環境変数の更新の要請を伝えている
Zeabur｜Zeabur October 2026 security incident (preliminary report)（外部）
Zeaburの予備報告。分単位のタイムライン、自社の原因として認めた管理者トークンの扱い、読まれた環境変数やアカウントの件数を載せている
Fireworks AI｜Fireworks October 2026 security incident（外部）
Fireworks AIの公表。評価ジョブの環境変数への第三者のアクセスと、鍵を発行元で失効させる手順など、顧客に求める対応を示している
【参考記事】
Northflank security breach leads to abuse of customers’ AI API keys（外部）
Northflankの侵害で、利用者が預けたAIのAPIキーが不正に使われたと報じた記事。Wizが数えた10月の侵害9件にも触れている
Chainalysis discloses data breach from “offensive agentic techniques”（外部）
Chainalysisが攻撃的なエージェント技術による侵入を公表したと報じた記事。閲覧された情報の項目と、未公表の点を整理している
