【ITニュース解説】Black October: Why Nine AI Developer Platforms Lost Customers' Secrets in One Month

2026年10月、AI開発者向けプラットフォームにおいてセキュリティインシデントが同時多発的に発生した。Wiz Researchはこの一連の事態を「Black October（ブラックオクトーバー）」と名付け、少なくとも9つのプラットフォームが顧客の秘密情報を漏えいしたことを報告した。これら9つのプラットフォーム、具体的にはFireworks AI、Andromeda、Zeabur、Lightning AI、OpenCode、Railway、Warp、CommandCode、Northflankは、それぞれ異なる根本原因によって情報を漏えいしたが、攻撃者が狙っていたものは共通していた。それは、プログラムが動作するために必要な設定情報や、AIサービス（例えばOpenAIやAWSなど）にアクセスするための秘密の鍵（AIプロバイダーキー）が保存されている「環境変数」と呼ばれる領域の情報である。この一連の事件は、個別の偶然の事故ではなく、特定の情報を狙った攻撃パターンとして注目すべきである。

各プラットフォームで報告されたインシデントは多岐にわたる。Fireworks AIは認証情報が不正に取得される「credential-access」事件と、「agent swarm（エージェントスウォーム）」という攻撃パターンを示した。Andromedaは「業界全体への攻撃」の一部として情報を開示し、Zeaburは認証情報アクセスを経てサービス終了を発表した。Lightning AIも認証情報アクセスの被害を受けた。OpenCodeは「レガシーシステム」（古いシステム）から保存されていたプロバイダーキーが露出したと報告し、Railwayはシステムを構築するインフラにおける「privilege escalation（権限昇格）」、つまり攻撃者が本来持たないはずの管理者権限などを不正に手に入れたことを発表した。Warpはサードパーティベンダー（外部の協力企業）が原因で「agent traces」（エージェントの活動痕跡）が確認されたことを示唆し、CommandCodeは「model distillation」（モデル蒸留）がインシデントの原因だと説明した。そしてNorthflankは、顧客に対して環境変数が完全に復号されたものと仮定するよう促した。これらの事例はそれぞれ異なる経路で発生したが、共通してAIアクセス権を持つ秘密の情報が狙われた点が重要である。

盗まれたAIの鍵は、金銭的に大きな価値を持っていたことが判明している。Wiz Researchの調査によれば、盗まれた単一のAmazon Bedrockキーが、わずか13時間で約170万回ものAPI呼び出しに利用された事例があった。これら2つのBedrockのケースを合わせると、約250万回のAPI呼び出しが行われ、その利用料は正規の価格で10万ドル（約1500万円以上）を超えていたと報告されている。この手口は「LLMjacking（LLMジャッキング）」と呼ばれ、盗んだAIの認証情報を使って、他人の有料アカウントでAIモデルを無料で利用したり、さらにはそのアクセス権を転売して利益を得たりするものである。驚くべきことに、これらの侵害で盗まれたキーは、情報が露出してから30分以内にテストされ、その後すぐに転売市場に出回っていた。転売されたキーからの通信は、通常の開発用エージェントの利用状況と酷似しているため、正規の利用か不正な利用かを区別することが非常に難しいという特徴がある。

いくつかの具体的なインシデントから、被害の実態を詳しく見てみよう。Railwayの報告では、「ビルドインフラにおける潜在的な権限昇格」が発生し、その結果「暗号化された環境変数に対する不正な照会」が行われたと説明されている。攻撃者はその一部を解読することに成功し、Railwayは影響を受けたワークスペースが全体の最大1.85%にあたる約10万ワークスペースに及ぶと推定した。同社はAnthropic、OpenAI、OpenRouter、GitHub、Stripeといった主要なサービスプロバイダーに対し、影響を受けたキーの取り消しを直接要請した。Northflankのインシデントは最も詳細な時系列が公開されており、10月30日の11時43分（UTC）にWizからの脅威アラートを受け取った後、20分以内にネットワークポリシーを修正した。しかし、約2時間後には公開ステータスが「直ちにキーをローテーションする」から「全ての環境変数が復号されたと仮定する」へと悪化し、同日15時12分（UTC）には、顧客からのAIキー悪用が確認された。この事態を受けて、これまで有料機能だった監査ログが、翌朝には無料ユーザーを含む全ての顧客に提供されるという対応が取られたが、これは侵害発生後の後手対応であった。

なぜこれほど多くのプラットフォームが、1ヶ月という短期間に狙われたのだろうか。Wizの研究者は、この現象を二つの主要なトレンドの収束として説明している。一つは「agentic attacks（エージェント攻撃）」の広範な増加である。これは、自動化されたプログラム（エージェント）を使って攻撃を行う手法であり、効率的かつ広範囲に攻撃を展開できる特徴がある。もう一つは「LLMjackingの経済性」である。盗んだAIのアクセス権は転売によって容易に現金化できるため、攻撃者にとって非常に魅力的な標的となる。これらの9つのプラットフォームは、共通の脆弱性や同じ攻撃者に狙われたわけではないとWizは結論付けている。彼らが共有していたのは、「顧客の代わりにサードパーティのAPI認証情報を一元的に保存する」という共通のビジネスモデルだった。このビジネスモデル自体は、顧客が秘密の情報を自分で管理する手間を省くという、開発者プラットフォームの重要な価値提案である。しかし、Black Octoberは、この「利便性」が、個々のベンダーの技術品質の問題ではなく、カテゴリ全体にわたる「single point of failure（単一障害点）」（そこが壊れるとシステム全体が停止するような弱点）になり得ることを示した、1ヶ月にわたる実証実験であった。

もしあなたのチームが、Fireworks AI、Andromeda、Zeabur、Lightning AI、OpenCode、Railway、Warp、CommandCode、Northflankといったプラットフォームにキーを保存していた場合、最も安全な仮定は「これらのプラットフォームが読み取れる環境変数は全て侵害された」と考えることだ。たとえ直接の通知を受け取っていなくても、いくつかのプラットフォームは実際に何が盗まれたのか、その範囲をまだ確定していないためである。最も重要な対策は、単にプラットフォーム内でキーを更新するだけでなく、キーの発行元（AWS、Anthropic、OpenAI、OpenRouter、GitHub、Stripeなど）で、元の認証情報を取り消し（revoke）し、新しい認証情報を再発行（reissue）することである。もし元の認証情報が既にコピーされている場合、プラットフォーム内でキーをローテーションしても意味がないからだ。また、侵害の事実を知る前の期間についても、プロバイダーの利用ログや請求ログを注意深く確認すべきである。Northflankの事例が示すように、悪用は情報が公になるよりもかなり前から始まっていることが多い。そして、システムエンジニアとして、常に「このキーのコピーがいくつのプラットフォームに保存されているか」という点を重要な指標として扱う必要がある。認証情報を保存するプラットフォームが増えるほど、情報漏洩のリスクは比例して高まる。Black Octoberは、一見無関係に見える9つの企業が、わずか30日間でこの複合的なリスクに直面したことを明確に示している。