露出したAIサービスを狙うGo言語製ボットネット「NadMesh」が台頭、クラウド認証情報やKubernetesトークンの奪取が目的

要点

• Go言語製のボットネット「NadMesh」が、公開状態にあるAI関連サービスやワークフローツールを探索している。

• 目的はホストの制御ではなく、環境変数や設定ファイルに含まれるクラウド認証情報やKubernetesトークンの窃取である。

• スキャン対象には、ComfyUIやOllama、n8nなど、セキュリティ設定が後回しにされがちなAIツールが含まれる。

• 管理パネルには3,811個のAWSキーが蓄積されているとされるが、実際の悪用トラフィックの多くはDockerやJenkinsに向けられている。

• セキュリティ企業QiAnXinのXLabは2026年7月17日、Go（Google開発のプログラミング言語）で構築された新しいボットネット「NadMesh」の調査レポートを公開した。7月上旬から活動するこのボットネットは、公開状態にあるAI関連サービスをスキャンし、クラウドキーやKubernetes（コンテナ管理プラットフォーム）の認証トークンを探索しているという。

• NadMeshという名称は、ソースコード内の「n4d mesh controller」という記述に由来する。XLabが分析した管理者ダッシュボード（7月10日時点）によれば、このボットネットはすでに3,811個のユニークなAWS（クラウドサービス）キーを獲得したと主張しているという。

• ボットネットは、Shodan（デバイス検索システム）を利用してスキャン対象を収集しており、ComfyUIやOllama、n8n、Open WebUI、Langflow、Gradioといったツールを標的にしている。これらは迅速に導入される一方で、保護対策が後回しにされがちなAIやワークフロー関連のツール群である。

• 奪取されるのは、環境変数内のクラウドキーやKubernetesのトークン、設定ファイルの内容である。目的はホスト自体の制御ではなく、クラウドの認証情報や特権、AIモデルへのアクセス権、呼び出し可能なMCP（Model Context Protocol）ツールだという。

• なかでもMCPは従来の標的（Docker APIなど）より優先度が高い。攻撃手法には、JSON-RPC（遠隔実行規格）の「tools/call」を悪用して「execute_command」を実行させるものが確認されているが、特定のCVE（脆弱性識別番号）は割り当てられていない。

• MCPは仕様上、認証機能がオプション扱いで省略されやすい。調査によれば、公開されたMCPサービスは2万1000個を超え、そのうち約90個がコマンド実行ツールを公開しており、39個で今回の攻撃と同じ「execute_command」という名称のツールが動作していた。

• ただし、実際の悪用トラフィックでAI関連はごく一部にすぎない。最多はDocker APIの脆弱性を狙う攻撃（30.31%）で、次いでJenkins（開発自動化ツール）を狙う攻撃（22.28%）だった。MCPのコマンド実行を狙う攻撃は、0.78%未満の「その他」に分類されるわずかな割合にとどまる。

• また、ヒットしたサブネットを5分ごとに再調査し、危険なIPを15分ごとに再スキャンする効率的な仕組みを備える。応答がないターゲットは、ハニーポット（攻撃検知用の偽システム）とみなして自動的にブラックリストへ登録し、研究者の監視を回避しようとしている。

• XLabによると、NadMeshの送信元IP数は6月後半までほぼゼロだったが、7月第1週に急増して1日あたり約139件に達した。現在は5つのバージョンが並行して稼働しており、主力バージョン「33.8-GO-TITAN」のほか、古いバージョンも使われているという。

• 補足：

• インターネット上に公開された開発ツールやAIプラットフォームは、適切なアクセス制限が行われないまま稼働しているケースが多く、攻撃者にとって格好の標的となっている。