AI評価機関METRで2件のセキュリティ事案、APIキー窃取で約60万ドル相当のクレジット消費も

要点

• フロンティアAIの安全性評価を行う米非営利機関METRが、2026年に発生した2件のセキュリティインシデントを公表した。

• 3月の事案では、個人環境の認証不備からAPIキーが盗まれ、約60万ドル相当のモデル推論クレジットが不正に消費された。

• 5月の事案では、エージェントを用いた自動探索攻撃や、公開ビューワーにおけるSQL機能の誤露出が確認された。

• いずれの事案でも機微情報へのアクセスは確認されておらず、METRは監視体制の強化や利用制限などの対策を講じた。

• フロンティアAIモデルの安全性や自律的なタスク遂行能力を評価する非営利研究機関METR（Model Evaluation and Threat Research）は、同機関のシステムに対して外部から不正アクセスを試みる2件のセキュリティインシデントが発生していたことを公表した。

• 報告によると、2026年3月に推論用APIキーの窃取と約60万ドル相当のクレジット不正消費が発生したほか、同年5月には持続的なインフラ探索攻撃が観測されたという。

• いずれの事案においても機微な内部情報への不正アクセスは確認されておらず、METRは連携するAI各社へ事前に調査結果を共有した上で詳細を明らかにしている。

個人環境の認証不備からAPIキー流出、約60万ドル相当のクレジットを不正利用

2026年3月に発生した1件目のインシデントは、機微情報へのアクセス権を持たない研究者が個人で運用していたAWSの仮想サーバー（EC2インスタンス）が発端となった。この環境ではGoogle認証の背後でエージェントが稼働しており、METRの公開モデル用APIキーが保管されていた。

しかし、運用されていたアプリケーションにエラー発生時に認証が無効化される「フェイルオープン脆弱性（認証エラー時に誤ってアクセスを許可してしまう不具合）」が存在したため、認証機能が警告なく停止し、ダッシュボードが数日間にわたりインターネット上へ露出する事態となった。

METRの分析によると、攻撃者は証明書透明性（CT）ログなどの公開情報からLLMやエージェント関連のキーワードを持つサイトを探索し、露出したAPIキーを収集していたとみられる。攻撃者は露出したダッシュボード内のエージェントに直接プロンプトを入力してAPIキーを開示させ、さらに継続アクセスのためのSSH公開鍵を設置した。

盗まれた認証情報は、約3週間にわたり公開モデルへの推論に不正利用された。消費されたクレジットはAI提供元からMETRへ無償提供されていた枠であったため金銭的損失は免れたものの、正規料金に換算すると約60万ドル（約9,000万円）相当に上る規模であった。通常から大規模な評価実験でトークンを大量消費しており、利用上限（キャップ）が未設定だったため即座の検知が遅れたという。METRは再発防止策として、非管理端末への認証情報配置の制限や、支出アラートの設定を含む監視強化を実施した。

自動化ツールによる組織的探索と、公開ログ閲覧ツールでのSQL機能露出

2026年5月には、先端AIモデルへのアクセスを狙う金銭的動機とみられる持続的な攻撃キャンペーンが観測された。

攻撃者はエージェントを活用して脆弱性探索を高度に自動化しており、流出した認証情報を総当たりで試すクレデンシャルスタッフィングやOAuthトークンの取得試行、新規サービスの自動スキャン、職員へのフィッシング攻撃などを組織的に展開していたという。

この攻撃と同時期に、METRの公開ログ閲覧ツール「トランスクリプトビューワー」において、読み取り専用のSQLクエリ機能が意図せず外部から利用可能な状態になっていたことも判明した。本来は公開データのみを扱う設計だったが、コンポーネントの不具合により未公開の評価データへアクセスできる潜在的リスクを抱えていた。さらに、非機微データのみを格納する想定のデータベース内に、機微モデルのデータが誤って混入していた事実も確認された。

この問題は外部のセキュリティ研究者からの報告で発覚し、METRは直ちにAPIを停止した。攻撃者も一連の活動の中でこのエンドポイントへアクセスしていたが、脆弱性を突いた攻撃や非公開データへのアクセスが行われた痕跡は確認されなかったとしている。

補足：インシデントの背景

METRはAIモデルが危険な自律的行動を行わないかを検証・評価する専門機関であり、今回の事案は評価システムそのものがAIエージェントに乗っ取られたわけではない。特定の脅威グループへの帰属は特定されていないが、METRは得られた知見を提携企業と共有し、業界全体のセキュリティ向上を図る姿勢を示している。