OpenAI等3社API、隠れ推論から機密漏えい
- 研究者がOpenAI・Anthropic・Googleの推論APIの暗号化「思考ブロック」を悪用する手法を発表
- 公開されたAIエージェントのログから、性能の低いモデルを使って内部推論を復元できたと報告
- 実際のユーザーセッションからAPIキー62件、パスワード33件など704件の秘匿情報を検出したとされる
かんたんに言うと
AIサービスの『考え中』データが暗号化されていても、別のセッションや弱いAIモデルに読み取られてしまう不具合が見つかりました。公開されたAI操作ログを扱っている企業は、そこにパスワードなどの機密情報が隠れていないか確認が必要です。
AIセキュリティとの関連: 主要AIプロバイダのAPI設計に起因し、モデルの内部推論から実際に機密情報が復元できたことを示す事例のため
一次情報(公式アドバイザリ・CVEレコード等)は確認できていません。本記事は下記の報道をもとに作成しています。
何が起きたか
研究チームが発表した論文「Stealing Reasoning Traces from Proprietary LLM APIs」によると、OpenAI・Anthropic・Googleの推論API(AIが回答前に行う内部思考を暗号化して保持する仕組み)には、ある会話で作られた暗号化推論ブロックを別のセッションや別ユーザー、さらには同系列の性能が低いモデルに渡して再生できる問題があったとされる。暗号自体は破られておらず、暗号化ブロックがそのまま処理され続けたことが原因という。公開されている6708件のAIエージェント動作ログから31万5320件の思考ブロックを解読し、ベンチマーク由来を除いた実ユーザーの記録から704件の機密情報(APIキー62件、パスワード33件、アクセストークン24件、秘密鍵7件)を検出したと報じられている。研究者は各社に開示し、報告された攻撃は2026年8月時点で再現できなくなったとしている。
誰に・どう影響するか
大企業では、AIエージェントの動作ログを社外に公開・共有している開発チームが特にリスクにさらされる。見える会話文をサニタイズしても、暗号化推論ブロック内に別ユーザーの機密情報が残る可能性があるためだ。中小企業では自社でログを公開する機会は少ないかもしれないが、外部ベンダーやオープンソースのAIエージェントツールを利用している場合、意図せずログが公開リポジトリに含まれていないか確認する必要がある。悪意ある侵入が確認されたわけではないが、設計上の抜け穴として広範囲のAPI利用者に関係する話とされる。
今すぐやるべきアクション
- AIエージェントのログを公開・共有する前に、暗号化推論ブロックや不透明な思考フィールドを除去する
- 見える会話文だけでなく、APIレスポンス全体(生の推論データ含む)をリポジトリにコミットしないよう運用ルールを整備する
- モデルを切り替える構成では、推論ブロックの扱いに関する各社の最新ドキュメント(OpenAI・Anthropic・Google)を確認する
- 過去に公開したAIエージェントログがあれば、機密情報の混入がないか点検する
重大度の判定理由
重大度「高」: 3大AIプロバイダに影響し実データ流出を実証したが、悪用には公開ログ入手が必要で既に緩和済みとされる