運営者からもやりとりの中身を見られないAIを掲げるNEAR AIが、侵害を公表しました。破られたのは、データを隔離する箱そのものではなく、その箱の中でAIを動かすオープンソースの推論エンジンでした。機密推論は、どこまでを守り、どこから先を守らないのでしょうか。
NEAR AIは2026年11月9日、インフラの一部に不正アクセスがあったと公表した。攻撃者はオープンソースの推論エンジン「SGLang」のリモートコード実行の脆弱性を突いて推論サーバー1台でコードを実行し、以前に非推奨としたPrivate Chatの背後にある内部システムに到達した。約100人のメールアドレスと氏名（一部はプランと残高）が持ち出され、TEEで動いていない旧版のNEAR AI Agents上の18件のエージェントから、チャット履歴・設定・ログが取得された。2顧客のAPIキーもログ上で露出した（失効済み）。11月8日には、そのサーバーで処理中の機密モードを含むリクエストを観察できた可能性がある。保存済みのPrivate Chatの会話やファイルにアクセスした形跡はない。
From: 
Security Incident Report（NEAR AI）
【編集部解説】
NEAR AIは、AIの推論をTEE（信頼できる実行環境）の中で動かし、運営者からもやりとりの中身を見られないようにする「機密推論」を掲げてきた事業者です。今回の侵害は、その仕組みが守れる範囲と守れない範囲の境目を、事業者自身の報告で示した事例になりました。
入口になったのは、AIを動かすソフトウェアそのものでした。SGLangは、大規模言語モデルを速く、多くの利用者に同時に応答させるためのオープンソースの推論エンジンです。モデルの重みを読み込み、届いたリクエストを処理して答えを返す、推論サーバーの心臓部にあたります。
innovaTopiaの11月1日の既報で取り上げた10月の9社の侵害では、Wizが共通の狙いとして挙げたのは、環境変数などに置かれたAIサービスの鍵でした。今回は、どこから入られたかがはっきりしています。推論を担うソフトウェアの脆弱性から推論サーバーが乗っ取られ、そこから内部のシステムへと広がりました。
TEEが守るのは「箱」であり、箱の中で動くプログラムの正しさまでは守りません。TEEは、クラウドの運用者やサーバーのホストが処理の中身をのぞけないようにする仕組みです。ところが、中で動くプログラムに穴があれば、攻撃者はそのプログラムの権限で、箱の中でも命令を実行できます。NEAR AIは報告で、機密コンピューティングは環境の中で動くソフトウェアの脆弱性からは守らず、今回起きたのはまさにそれだと認めています。
この限界を、NEAR AIは事故の前から言葉にしていました。10月2日の同社のブログは、ハードウェアが署名する証明（アテステーション）で確かめられるのは「どのハードとソフトを信頼しているか」であり、コードにバグがないことまでは証明しないと書いています。守れる範囲を先に公開し、破られたあともその線に沿って説明している点は、機密推論という分野が信頼を積み上げていくうえで大切な姿勢です。
影響の中身を見ると、チャット履歴や設定を取られた18件のエージェントは、TEEで動いていない旧版の環境にありました。保存済みのPrivate Chatの会話やアップロードされたファイルには、アクセスの形跡がないとしています。
一方で、11月8日には、乗っ取られたサーバーで処理中だった利用者のリクエストを、攻撃者が観察できた可能性があります。そこには機密モードのリクエストも含まれます。どの時間帯の、どれだけのリクエストが該当するのかは、報告では示されていません。
SGLangをめぐっては、7月30日にCERT/CC（カーネギーメロン大学の脆弱性調整機関）が、リモートコード実行を含む6件の脆弱性を公表していました。多くは認証なしで悪用でき、公表の時点では修正版がありませんでした。9月には、指摘された処理の一部を締める修正が開発の本流に取り込まれています。NEAR AIは今回どの脆弱性が使われたかを明らかにしていないため、この6件と結び付けることはできません。ただ、推論エンジンそのものも、侵入の経路として守りを固める対象であることは、この2つの出来事から読み取れます。
推論基盤を提供するFireworks AIも、11月9日付で更新した10月の侵害の続報で、新たな経緯を明らかにしました。研究開発用のマシンを置いていた外部のクラウド事業者で10月23日に事案が起き、それを足がかりに翌24日、開発用のマシンへ到達されたというものです。入口はNEAR AIと異なりますが、AIの基盤を提供する事業者が、モデルの外側にある部品から破られる例が続いています。
SGLangを自社で動かしている企業にとっては、他人事ではありません。CERT/CCは、推論サーバーの窓口を信頼できないネットワークに出さないこと、使っていないエンドポイント（外部から呼び出せる窓口）を無効にすることなどを緩和策として挙げています。NEAR AIの利用者には、アカウントや残高に触れる心当たりのない連絡に注意するよう、同社が呼びかけています。
NEAR AIは、推論ソフトウェアとその周辺のサービスも、エンクレーブ（TEEで隔離された領域）と同じ厳しさで扱うようにしたとしています。機密推論のスタックのコードや依存関係、デプロイの設定は公開されたままです。今回の侵害は、箱を守ることに加えて、中で動くソフトウェアを確かめることが欠かせないと改めて示しました。同社は10月2日のブログで、境界の内側のソフトウェアを検証することは、周りのハードウェアを検証するのと同じくらい重要だと書いています。公開されたコードを外部の目が検証できるという強みは、そこでこそ生きてくるはずです。
【関連記事】
【解説】AI開発基盤9社が10月に侵害を公表、狙われたのはAIの鍵 NorthflankとChainalysisも
Wizが数えた10月の9社の侵害を整理した解説記事。環境変数に置かれたAIサービスの鍵が狙われた経緯と、預ける側にできること。
Nvidia Tritonの脆弱性、AIモデル盗難に直結。Wizが警告するリモートコード実行（RCE）の脅威とは
2025年8月の記事。推論サーバーNVIDIA Tritonのリモートコード実行の脆弱性と、AIモデルの盗難につながる危険を伝えた。
Telegram「Cocoon」発表、TON上でGPU提供者に暗号通貨報酬─10億人向けプライベートAI基盤
機密コンピューティングでAIの処理を隔離するプライベートAI基盤の構想。運営者から中身を見えなくするという同じ発想の別の例。
【編集部後記】
NEAR AIは10月22日のブログで、データを保存しないという約束から、利用者が自分で確かめられるプライバシーへ移ろうと呼びかけていました。そのなかで、信頼はなくなるのではなく、エンクレーブの中の仕組みとハードウェアへ移るのだとも書いています。
今回の件で見えたのは、その移った先に、日々更新されるオープンソースの推論エンジンも含まれていたことです。「TEEで動く」と聞いたとき、皆さんはその箱の中で何が動いているところまで、思い浮かべるでしょうか。
【用語解説】
推論エンジン
学習済みのAIモデルを読み込み、届いたリクエストに応答を生成して返すソフトウェア。多数の利用者からのリクエストを効率よくさばくための工夫が組み込まれている。SGLangやvLLMなどがある。
TEE（信頼できる実行環境）
プロセッサーの機能で、メモリー上のデータや処理を、OSやクラウドの運用者からも見えないように隔離する仕組み。Trusted Execution Environmentの略。隔離された領域はエンクレーブとも呼ばれる。
機密推論
AIの推論をTEEの中で行い、利用者のプロンプトや応答を、サービスの運営者からも見えない状態で処理する方式。機密コンピューティングをAIの推論に応用したもの。
アテステーション
TEEの中でどのハードウェアとソフトウェアが動いているかを、ハードウェアが署名した証拠で外部から確かめる仕組み。動いているコードが想定どおりかは確かめられるが、そのコードに脆弱性がないことまでは保証しない。
リモートコード実行（RCE）
ネットワーク越しに、攻撃者が標的のコンピューター上で任意のプログラムを実行できてしまう脆弱性。Remote Code Executionの略。脆弱性の中でも深刻度が高いものとして扱われる。
【参考リンク】
NEAR AI（外部）
TEEで動かす機密推論のクラウドNEAR AI Cloudなどを提供する。今回のインシデント報告もこのサイトのブログで公開した。
SGLang（GitHub）（外部）
大規模言語モデルなどを高速に提供するためのオープンソースの推論エンジン。LMSYSがホストし、Apache-2.0で公開されている。
CERT/CC「VU#281278」（外部）
2026年7月30日に公表された、SGLangの6件の脆弱性の詳細。リモートコード実行などの内容と、修正までの緩和策を載せている。
NEAR AI「Assume We’re Lying: How to Verify Private Inference」（外部）
2026年10月2日の同社ブログ。ハードウェアが署名する証明（アテステーション）で確かめられることと、確かめられないことを説明している。
Fireworks AI「October 2026 Security Incident Update」（外部）
Fireworks AIの侵害の続報。11月9日付の更新で、外部のクラウド事業者を経由した10月24日の到達の経緯を伝えた。
【参考記事】
Near AI Breach Exposes User Details and Data From 18 AI Agents（外部）
Decrypt。約100人の情報と18件のエージェントのデータが取得された経緯を伝え、7月のCERTによるSGLangの公表にも触れた記事。
NEAR AI says SGLang vulnerability exposed user account details in security breach（外部）
The Block。SGLangの脆弱性による侵害の概要と、NEAR AI Cloudへのアクセス復旧など、同社の対応をまとめた記事。
Fireworks AI discloses new breach after cloud provider hack（外部）
BleepingComputer。外部のクラウド事業者の侵害を経由したFireworks AIの2度目の事案と、露出した情報の種類を伝えた。
