AIゲートウェイBifrostに認証不要の重大欠陥
- OSSのAIゲートウェイBifrostに認証不要のコマンド実行脆弱性(CVE-2026-90898、CVSS9.8)
- 管理APIの認証が既定で無効なため、単発のHTTPリクエストで悪用可能
- 関連する別の脆弱性(CVE-2026-86242)も1ヶ月以内に発覚、修正版v2.1.0が公開済み
かんたんに言うと
複数のAIサービスをまとめて使うための中継システムに、鍵をかけずに誰でも命令を実行できる欠陥が見つかりました。使っている企業は最新版に更新し、認証設定を有効にする必要があります。
AIセキュリティとの関連: 20以上のLLMプロバイダーを中継するAI基盤ゲートウェイの脆弱性で、AIサービス連携基盤の安全性に直結するため
何が起きたか
JFrog Security Researchが、オープンソースのAIゲートウェイ「Bifrost」に重大な脆弱性を発見した。Bifrostは20以上のLLM(大規模言語モデル)プロバイダーへのリクエストを中継するツールで、CVE-2026-90898(CVSS9.8)として登録されている。攻撃者は認証情報なしで、管理API「/api/mcp/client」に対しPOSTリクエストを1回送るだけで、MCP(AIとツールを連携させる仕組み)のクライアントとして任意のコマンドを登録できる。Bifrostはハンドシェイク前にこのコマンドをゲートウェイのプロセスユーザー権限で即座に実行してしまう。公式Dockerイメージではこのユーザー名は「appuser」。ゲートウェイは接続先各プロバイダーのAPIキーを保持しているため、コマンド実行が成功すればこれらの認証情報も窃取される恐れがある。影響を受けるのはtransports/v2.1.0より前の全バージョンで、管理APIの認証が無効な状態(これが既定設定)の場合。修正版はv2.1.0で公開済み。
誰に・どう影響するか
中小企業では、Bifrostを試験的に導入していたり、デフォルト設定のまま社内AIツールの中継基盤として使っているケースが想定される。公式Dockerイメージは管理APIを外部(0.0.0.0)にバインドするため、ポートを公開していれば社外から到達可能になり得る。大企業では、複数の生成AIサービスを統合管理する用途で本格導入している場合、接続先プロバイダーのAPIキーが集中管理されているため、一度の侵害で複数サービスの認証情報が漏洩するリスクがある。いずれの規模でも、管理APIの認証を有効化していないまま運用していた場合は、侵害を前提とした対応が推奨される。
今すぐやるべきアクション
- Bifrostをtransports/v2.1.0以降に速やかにアップデートする
- アップデートが困難な場合はgovernance.auth_config.is_enabledをtrueに設定し強固な認証情報を使う
- 管理APIのリスナーを信頼できないネットワークから隔離する
- 認証無効・管理API露出状態で稼働していた場合は侵害を前提に仮想キー・プロバイダーAPIキーを全てローテーションする
- 同時期に発覚したCVE-2026-86242(カスタムプラグイン経由のコード実行)への対応も確認する
重大度の判定理由
重大度「高」: CVSS9.8、認証不要で単発リクエストにより悪用可能だが、KEVカタログには未収載で悪用確認は未報告