【ITニュース解説】Stolen AI API Keys Are Now the Attack Currency

AI技術が急速に社会に浸透する中で、その利便性の裏で新たなサイバーセキュリティの脅威が台頭している。特に、AIサービスを利用するための「APIキー」が、今やサイバー攻撃者にとって重要な「攻撃の通貨」として悪用されている。これは、AIを活用する多くの企業や開発者にとって、セキュリティ対策の新たな盲点となりかねない深刻な問題だ。

2026年9月にAnthropic社が公開した脅威インテリジェンスレポートでは、この問題が具体的に浮き彫りにされている。このレポートは、2025年12月から2026年8月にかけてAnthropic社が阻止した悪用事例を分析したもので、特にサイバー攻撃の領域で、盗まれたAPIキーとセッショントークンが犯罪的なAIサプライチェーンの基盤として利用されている実態が詳細に報告されている。APIキーとは、アプリケーションがAIサービスと通信するための「鍵」や「パスワード」のようなものであり、セッショントークンは、ユーザーがログインしている状態を維持するための「一時的な許可証」に例えられる。

なぜAPIキーがこれほどまでに狙われるのか。攻撃者にとって、盗まれたAI APIキーは一度に三つの大きなメリットをもたらす。一つ目は、そのキーをブローカーを通じて転売することで収益を得る「在庫」となることだ。二つ目は、被害者のキーを使って自分たちの攻撃のための計算リソースを無料で利用できる点。これによって、攻撃者は自らのコストをかけずに大規模な攻撃を展開できる。そして三つ目は、攻撃元が被害者のキーの正規の所有者であるかのように見せかけられるため、攻撃者の身元が隠蔽され、責任が被害者に転嫁されるという、非常に悪質な側面を持つ。

レポートが特に強調しているのは、Anthropicのシステム自体が侵害されたケースは一つもなく、すべての事例でキーはAnthropicの顧客環境から盗まれているという事実だ。これは、AIサービスの提供者側ではなく、利用している企業や個人の環境に脆弱性が存在していることを示唆している。

具体的な攻撃事例の一つに、ロシア語とウクライナ語を話すグループ「GTG-50021」がある。彼らは安価なClaude AIへのアクセスを謳う不正な再販業者として活動し、実際には顧客のトラフィックを別のモデルに転送しながら、裏で顧客のAnthropicアカウント情報を窃取していた。これはAIという新しい「餌」を使ったフィッシング詐欺であり、割引されたモデルアクセスが個人や中小企業にとって魅力的な購入対象となっているため、大規模に展開されてしまう。

また、攻撃者たちは「Living off the land（ランドを食い荒らす）」という戦術をAIにも応用している。これは、被害者の環境内に元々存在する正規のツールやインフラを悪用して攻撃を進める手法だ。この場合、正規のAIスタック自体が攻撃の標的となり、同時に攻撃のためのリソースとして利用される。例えば、アプリケーションとAIモデルプロバイダーの間に位置するオープンソースのゲートウェイ層「LiteLLM」（様々なAIモデルプロバイダーとアプリケーションを繋ぐ仲介役）の実装が狙われ、プロンプトインジェクション（AIモデルへの不正な指示によって意図しない動作をさせる攻撃）を通じて本番環境のAPIキーが抜き取られる事例も報告されている。さらに「GTG-50020」という攻撃者は、あるAIベンダーの評価サンドボックスを侵害し、その生産キーを盗んだ後、わずか4日間で約30のAI企業に対して同様の手口で攻撃を仕掛けた。これらのキーは常に顧客の環境から盗まれ、攻撃者の計算リソースとして悪用されていた。

AIが攻撃にどのように利用されるかという点でも、その進化は著しい。攻撃者はClaudeのようなAIをマルウェアやフィッシングキット、監視ツールの開発アシスタントとして利用する。さらに進んで、人間がターゲットを決定するだけで、AIが被害者ネットワークへのコマンド実行、認証情報の窃取、データ抽出といった操作を自律的に実行するようになる。最も高度な段階では、最小限の人間の介入で、複数のターゲットに対して偵察、悪用、窃盗を並行して行うマルチエージェントフレームワークが使われたり、盗まれたアクセストークンを自動更新し、被害者のクラウドストレージから情報を収集するシステムが、人間が介在せずに決められたスケジュールで動作したりする事例も確認されている。あるケースでは、盗まれた開発者トークンが約3時間で被害者のクラウド環境に対する完全な管理者権限に昇格し、別のケースではAIエージェントが、40以上の企業テナントにまたがる2,100以上のAzure ADトークンセットの抽出作業のほぼすべてを実行した。

これらの攻撃に用いられた技術自体は、盗まれた認証情報、パッチ未適用のデバイス、露出したサービス、SQLインジェクション、フィッシングといった、これまでと変わらないお馴染みのものだ。しかし、決定的に変わったのは「経済性」である。AIの登場により、これまで国家レベルの組織にしかできなかった大規模な攻撃が、個人や少人数のハクティビストでも実行可能になった。AIが、高度な攻撃に必要な労力やツールの障壁を大きく引き下げたのだ。

この状況に対し、Anthropic社は非常に具体的で実践的な勧告を行っている。それは「AIキーやエージェント連携を、本番環境の認証情報と同じレベルの真剣さで扱うべきだ」というものだ。具体的な対策として、以下の四つの運用変更が挙げられている。

第一に、パスワードを棚卸しするように、AIキーも棚卸しを行う必要がある。公開されているコード、GitHubリポジトリ、Dockerコンテナ、ウェブサイトなどからAPIキーが漏洩するケースが最も多いため、クラウド認証情報に対する秘密情報スキャンと同じパイプラインに、モデルプロバイダーのキーパターンをスキャンする仕組みを導入すべきだ。

第二に、キーの権限範囲を限定し、定期的にローテーションすること。キーは特定のプロジェクトに限定された権限のみを持つべきであり、定期的なスケジュールで、あるいは疑わしい活動が検知された場合には直ちにローテーションする必要がある。また、チャットや共有ドキュメント、スクリーンショットなどでの安易な共有は絶対に避けるべきだ。

第三に、不正な再販業者からの購入を停止すること。AIモデルへのアクセスは、必ず正規のチャネルを通じてのみ購入するべきである。「フロンティアアクセスが60%割引」といった謳い文句のサイトは、実際には別のモデルへのプロキシであるか、認証情報を窃取するためのものであったり、あるいはその両方であったりする可能性が高い。

第四に、LiteLLMのようなゲートウェイ層やプロキシ、エージェント連携といったコンポーネントを、セキュリティ上非常に重要なものとして扱うこと。本番環境のキーを保持しているこれらの層は、一つのプロンプトインジェクションによって簡単にキーを明け渡してしまう危険性があるため、認証情報保管庫と同じレベルの隔離と監視を適用する必要がある。

AI技術の進化は止まらない。エージェントが連携して動作するAIの世界では、インストールするパッケージも、貼り付けるキーも、すべてが攻撃の対象となりうる。攻撃者は、認証情報という最も簡単な入り口をまず狙ってくる。だからこそ、AIキーの棚卸しを徹底し、ゲートウェイ層を厳重に管理し、不正な再販業者との関わりを断つことが不可欠だ。攻撃の経済性は変化したが、基本的なセキュリティ対策の重要性は変わらない。