AIゲートウェイLiteLLM乗っ取りで通信傍受の実証研究
- セキュリティ研究者がLiteLLM(AIゲートウェイ製品)の乗っ取り手法を実証
- 管理者相当の認証情報を奪えば、通信の中継先を変更しAPIキーや応答内容を操作できる
- 既知の脆弱性CVE-2026-42271は悪用確認済みでCISAのKEVに登録済み
かんたんに言うと
社内のAI利用をまとめて管理する「案内係」役のソフト(LiteLLM)が乗っ取られると、AIとの会話を盗み見られたり、AIの返事を勝手に書き換えられたりする恐れがあります。管理用パスワードの管理を今一度見直しましょう。
AIセキュリティとの関連: 多数の企業システムが依存するAIゲートウェイの中枢機能が悪用可能と実証されたため、影響範囲が広く注視が必要
何が起きたか
セキュリティ研究者のブログEmbrace The Redが、AIゲートウェイ「LiteLLM」を乗っ取る攻撃手法を報告した。LiteLLMはOpenAIやAnthropicなど複数のLLM(大規模言語モデル)への窓口を一元化し、実際のAPIキーを社内利用者に配布せず「仮想キー」で運用する仕組みだ。研究では、管理者権限に相当する認証情報(LITELLM_MASTER_KEY)を何らかの方法で入手した攻撃者が、モデルのルーティング設定をAPI経由で変更し、通信を攻撃者のサーバーへ中継させる手口を示した。これにより実際のプロバイダーキーを窃取でき、応答内容の改ざんやAIエージェントへの不正なツール呼び出し注入も可能という。関連して、2026年3月にはLiteLLMのPyPIパッケージが認証情報窃取型マルウェアと共に配布された事件や、CISAのKEV(悪用確認済み脆弱性カタログ)に登録されたCVE-2026-42271(認証済みユーザーによるホスト上でのコマンド実行を許す脆弱性)も紹介されている。
誰に・どう影響するか
大企業では、複数部署・複数AIサービスを横断してLiteLLMのようなゲートウェイを一元管理していることが多く、単一の管理用認証情報が漏えいすれば組織全体のAI通信が影響を受けかねない。特にエージェント型AIツールを社内展開している場合、応答改ざんによる不正な操作実行リスクがある。中小企業では、コスト削減のためLiteLLM等のOSS(オープンソースソフトウェア)ゲートウェイを自前運用するケースが増えており、パッチ未適用や管理画面の認証設定の甘さが初期侵入経路になりやすい。いずれの規模でも、既存のプロンプト単位の防御策(入力内容の検査など)だけでは、推論後に行われるこの種の改ざんを検知できない点に注意が必要。
今すぐやるべきアクション
- LiteLLM等のAIゲートウェイを最新版に更新し、既知の脆弱性(CVE-2026-42271含む)を確認する
- LITELLM_MASTER_KEYなど管理者相当の認証情報を強固に管理し、環境変数や設定ファイルの外部露出を点検する
- 管理用APIやダッシュボードへのアクセスを制限し、多要素認証を適用する
- モデルのルーティング設定変更など管理操作の監査ログを記録・監視する
- AIエージェントのツール呼び出しに対するクライアント側の承認プロセス(いわゆるyoloモードの無効化)を確認する
重大度の判定理由
重大度「高」: 実証には管理者権限窃取が前提だが、既知の関連脆弱性CVE-2026-42271はKEVに登録され悪用確認済み