AI開発ツールLangflow侵害、モデル破壊型攻撃も
- 同一の攻撃者がLangflowサーバーに2度侵入したと報じられた
- 2回目はAIモデルの学習済みデータを破壊するランサムウェアを投入
- 身代金を受け取る仕組みが機能しておらず、金銭目的が果たせていなかった
かんたんに言うと
AIを作るための社内ツールに攻撃者が入り込み、育てたAIのデータを壊すウイルスをばら撒いたと報じられました。身代金は結局受け取れていなかったようですが、自社のAIツールが外部から見える状態になっていないか確認が必要です。
AIセキュリティとの関連: AI開発基盤自体が攻撃対象になった事例で、AIインフラの防御を考える上での参考事例として選定した。
一次情報(公式アドバイザリ・CVEレコード等)は確認できていません。本記事は下記の報道をもとに作成しています。
何が起きたか
セキュリティ企業Sysdigの脅威調査チームによると、インターネットに公開されたLangflowサーバーに同一の攻撃者が2度侵入したという。Langflowは、AIを使ったワークフローをコードを書かずに構築できるオープンソースツール。1回目の侵入は7月1日、2回目は7月20日に確認され、いずれも侵入経路は変わっていなかったと報じられている。1回目と2回目でペイロード(攻撃者が送り込む実行コード)の内容が変化し、2回目にはAIモデルの学習済みパラメータ(モデル重み)を破壊する目的で作られたランサムウェアが確認されたという。ただし記事では、この身代金要求の仕組みに不備があり、攻撃者が支払いを受け取れない状態だったと報じられている。侵入に使われた具体的な脆弱性のCVE番号や影響バージョンは、RSS概要からは確認できず、詳細は原典を参照されたい。
誰に・どう影響するか
中小企業では、無料や低コストで使えるオープンソースAIツールを試験導入するケースが増えている。管理者が気づかないまま管理画面やAPIがインターネットに公開され続けている場合、今回のような侵入経路になり得る。大企業では、複数部門がそれぞれAI開発環境を構築するケースがあり、社内で把握しきれていない野良のAIサーバー(いわゆるシャドーIT/シャドーAI)が同様のリスクを抱える可能性がある。今回は身代金回収に失敗した攻撃だったと報じられているが、モデル重みの破壊自体は、学習コストや事業継続の観点で実害になり得る。
今すぐやるべきアクション
- 社内で稼働中のLangflowなど、AI構築ツールの有無と公開状態を棚卸しする
- AI開発サーバーをインターネットに直接公開せず、VPNや社内ネットワーク経由に限定する
- Langflowなどのソフトウェアを最新版にアップデートし、既知の脆弱性情報を確認する
- 学習済みモデルやモデル重みの定期バックアップを別環境に保管する
- 侵入検知(EDR/XDR)のログを確認し、同一経路からの繰り返しアクセスがないか点検する
重大度の判定理由
重大度「高」: 実際の侵入・データ破壊事例が確認されているが、脆弱性の詳細や修正版有無は原典未確認のため中〜高と判断