Symantec、公開されたAIモデルを乗っ取る「Skynet」エージェントを発見

Symantecの研究者は、他人のAIモデル上で動く攻撃エージェントの指示の全文を捕捉しました。このエージェントは、インターネット上に無防備なまま公開されたAIサービスを見つけ、それを使って侵入を計画し、実行します。その計算の費用は持ち主が支払います。Symantecは2026年10月21日にこの調査結果を公表しました。

他人のAIモデルへのアクセスを盗む行為には、LLMjackingという名前があります。今回新しいのは、盗んだモデル上で攻撃全体を実行するように作られたエージェントです。「モデルの持ち主が、すべてのステップの費用を支払います」と、報告書の著者であるSymantecの親会社BroadcomのPriti MoreとSusmit Yenkarは書いています。

Symantecはどうやって捕らえたのか

研究者たちはハニーポットを運用していました。ハニーポットとは、狙いやすい標的に見せかけたおとりのシステムです。このハニーポットは、インターネットに公開された無防備なAIサービスを装っていました。攻撃者は本物のモデルがリクエストを処理すると信じ、エージェントのプロンプトの全文をそこに送りました。

おとりは、数万のアドレスから127,000件を超える外部リクエストを記録しました。その多くは、AIのエンドポイントの偵察、盗んだAPIキーの大量試行、公開された設定ファイルの探索でした。エージェントのプロンプトが捕捉されたのは2026年夏です。

ハニーポットは攻撃者のコマンドを一つも実行していません。つまり、報告書が示しているのはエージェントが何をするために作られたかです。すべてのツールが実際の被害者に対して機能するという証拠ではありません。

エージェントは何をするために作られたのか

捕捉されたプロンプトは5つの層からなります。冒頭はジェイルブレイクで、モデルの安全ルールを無効にするための文章上の仕掛けです。次に、モデルに「Fantasy AI」という偽の人格を与えます。この人格はGPT-4o上で動いていると称します。そのうえで74の攻撃ツールを定義しています。

プロンプトの部分	役割
「Skynet mode」	人の承認なしに最大100,000ステップを許可する
スキャンツール	公開されたモデルサーバー、AIゲートウェイ、MCPサーバーを見つける
エクスプロイトツール	Django、Jupyter、Laravel、Next.jsなどのWebフレームワークを攻撃する
認証情報の窃取	APIキーと、パスワードやキーを保存した.envファイルを集める
暗号資産のマイニング	4つの予備のマイニングプールを設定したMoneroマイナーXMRigをインストールする
痕跡の消去	ローカルサービスのアクセスログを削除する

MCP（Model Context Protocol）は、AIモデルをツールやデータにつなぐための標準的な方法です。AIゲートウェイとは、企業の有料モデルアカウントの前段に置かれるサーバーです。

Skynet modeでは、ツールは説明も許可の要求もなく即座に実行されます。エージェントは、スキャン、感染、マイナーのインストール、再感染というループを繰り返します。

Help Net Securityは研究者の言葉を引用しています。「盗まれたモデルは単に質問に答えるのではありません。攻撃を計画し、主導するのです」

2日間にわたる試み

1日目、攻撃者は3つのツール呼び出しがすでに書き込まれた会話を送ってきました。狙いはトレーニングプラットフォームでした。ハニーポットは4ターン目に汎用的な返答を返し、セッションは終了しました。

2日目には、新しいアドレスからのリクエストに、エンコードされ圧縮されたシェルスクリプトが含まれていました。Help Net Securityによると、このスクリプトはカメラやストリーミングのサーバーを狙ったMoneroマイナーをインストールしようとしました。ハニーポットはスクリプトを保存し、実行しませんでした。

Symantecは、個々の手法は新しいものではないとしています。懸念されるのは、それらが自律的に動く一つのエージェントにまとめられたことです。Infosecurity Magazineは、これによって広範な攻撃に必要なスキルが下がるというSymantecの見方を伝えています。

開発者にとっての意味

モデルサーバー、ゲートウェイ、MCPサーバーを運用しているなら、誰かに見つかるものと考えてください。Symantecによると、持ち主は「公開されて間もなく見つかり、試される」ことになります。同社の最初の推奨事項は明快です。「LLMのAPI、自己ホスト型のモデルサーバー、MCPエンドポイントを、認証なしでインターネットに公開しないでください」

小さなエンドポイントも確認してください。Symantecは、モデル一覧やヘルスチェックを含むすべてのパスに認証をかけるべきだとしています。サーバーをすべてのネットワークインターフェースで待ち受けさせるのではなく、前段にゲートウェイを置いてください。

AIのAPIキーは本番環境のパスワードと同じように扱ってください。ローテーションを行い、それぞれに必要最小限の範囲だけを与え、コードや設定ファイルに含めないでください。使用量と支出にアラートを設定してください。急増は、他人があなたのアカウントを使っている最初の兆候かもしれないからです。

ツールを呼び出すエージェントについて、Symantecは最小権限の原則と、重要な操作に対する人の承認ステップを勧めています。AIツールを動かすマシンからの外向きのネットワークアクセスを制限してください。クラウドサーバーでは、インスタンスメタデータサービスのバージョン2をホップ制限1で必須にしてください。これにより、クラウドの認証情報を盗む一般的な手口を防げます。

ゲートウェイはそれ自体が標的です。今週、人気のAIゲートウェイLiteLLMが乗っ取られ、認証情報を盗むマルウェアの配布に使われました。配布先はPyPIでした。公開しているものと、インストールするものの両方を確認してください。