LLMの不正利用でクラウド利用料が100万ドル（約1億5,800万円）に達した企業があると、Googleの脅威インテリジェンスチームが報告しました。盗まれた認証情報を使い、1秒間に1,000件を超えるリクエストが突然発生するケースもあるといいます。正規の利用として課金されてしまう点が見過ごされやすいところです。
Googleが報告したLLM不正利用の手口
GoogleのThreat Intelligence Group(GTIG)とMandiantの研究者が、LLMハイジャッキング(LLMjacking)と呼ばれる攻撃について分析結果を公表しました。盗んだ認証情報を使ってクラウド上のLLMへ不正アクセスし、その利用料を被害企業に負担させる手口です。一部の組織では1日あたり$100,000（10万ドル）を超える不正請求が発生し、累計では100万ドル（約1億5,800万円）に達した例もあったとしています。
研究者らは、この攻撃を支える仕組みとして「企業のLLMインフラを侵害し、収益化するために連携する2つの異なる活動クラスター」があると説明しています。一方は公開されているLLMのエンドポイントをスキャンして探す集団、もう一方は保護されていないマシンから有効な認証情報を盗み出す集団です。初期アクセスを得た攻撃者は、それを「LLMミキサー」と呼ばれるサービスに売却します。このサービスは加入者に対し、正規の許可を得ていないLLMへのアクセスを提供する仕組みです。
アクセス権が転売されると、リクエスト数が急に跳ね上がることがあり、Googleの観測では1秒間に1,000件を超える場合もあったとされています。サービス提供側はこれを正規の利用として記録し、トークン利用分を被害組織に課金します。GTIGとMandiantは今年、こうした活動の増加を観測しており、1日で$100,000（10万ドル）を超える不正請求や、累計100万ドル（約1億5,800万円）に達した組織の事例を確認しています。
LLMミキサーは、盗んだ認証情報を介して顧客のプロンプトをハイジャックされたサービスへ中継するプロキシ基盤を使い、AIリソースへの低価格なアクセスを提供しています。研究者が確認した中継基盤の例として、月額60ドルで「無制限アクセスプラン」を販売するJet Nightと、newapi[.]proというサービスが挙げられています。Googleによれば、ある攻撃者は8時間足らずで50万件を超えるLLM APIコールを実行し、盗んだ第三者の認証情報を使ってトークンルーティングサービスのjet-night.comを稼働させました。「Jet Nightは、ほぼone million dollars（100万ドル）分のトークン費用を被害組織に転嫁した」とGoogleは述べています。
Googleはこのほか、盗んだキーを集約してリクエストを分散させるゲートウェイツールを使っているとみられる脅威クラスター「UNC6993」も特定しており、アンダーグラウンドフォーラムを通じてアクセス権を販売している可能性があるとしています。
攻撃者の侵入経路と企業側の対策
攻撃者は、露出または侵害されたクラウド認証情報、サービスアカウントキー、GitHubトークン、有効なセッショントークン、LLMの認証キーなどを通じてアクセスを得ています。侵害した環境内で認証情報やログ、データベース、シークレット管理システムを探索し、バックドアアカウントの作成やSSHキーの注入によって、持続的なアクセスを維持しようとする動きも確認されています。
研究者らは、LiteLLMの脆弱性であるCVE-2026-40217を悪用する攻撃者も観測したとしています。カスタムコードのガードレールテスト用エンドポイントを利用して、サーバー上で任意のコードを実行できるというものです。
Googleが挙げる対策は、認証情報の管理と権限設計に集中しています。集中型のシークレット管理基盤を使い、機密キーのローテーションと管理を可能にすること。役割や業務に必要な範囲を超えた権限をユーザーに与えないこと。「クラウドLLMサービスへのアクセスを含め、明示的に必要とされない権限はすべて拒否する」ことをGoogleは推奨しています。
そのほか、フィッシング耐性のある多要素認証(MFA)の導入、環境全体を可視化できる監視ツールによる許可されていないLLM・AIサービス(シャドーAI)の検知、API利用量と支出の上限設定などが、LLMハイジャッキングの早期発見や被害の抑制、未然防止につながるとしています。クラウド監査ログと推論ログについても、許可されていないサービスの起動や不審な認証情報チェック、通常と異なる利用パターン、ログ無効化の試みを監視対象にするよう求めています。
出典記事に記載がある範囲では、具体的にどの企業が被害を受けたかは明示されていません。被害額の規模や発生頻度についても、GTIGとMandiantが観測した事例に基づくものであり、業界全体における発生率を示す数値ではない点には注意が必要です。
用語補足：LLMハイジャッキング(LLMjacking)
LLMハイジャッキングとは、盗んだ認証情報を使って他者のクラウドLLM環境に不正アクセスし、その利用料金を本来の契約者に負担させる攻撃手法です。攻撃者自身がLLMを運用するわけではなく、既存の正規契約へ便乗してリクエストを送り込む点が特徴です。サービス提供側からは正規の利用として記録されるため、不正利用に気づくまでに時間がかかる場合があります。出典記事の数値は、Googleが観測した個別事例の利用料であり、業界全体の被害総額を示すものではありません。自社の環境でAPI利用量や課金額に心当たりのない変動がないか確認する際の目安として読むのが妥当です。
出典: BleepingComputer
注目ニュース
CrowdStrikeがAIセキュリティ企業2社を合計5億ドル（約789億円）で買収
CrowdStrikeは、AIエージェントの監視ソフトを手がけるFiddler AIと、AIモデルのセキュリティテストを自動化するDreadnodeを買収すると発表しました。The Wall Street Journalによれば、Fiddler AIには約4億ドル（約631億円）、Dreadnodeには約9,500万ドル（約150億円）を支払うとされています。Fiddler AIはFalcon Observeとして、Dreadnodeの技術はFalcon Guardianの一部として、CrowdStrikeの既存プラットフォームに組み込まれる予定です。Fiddler AIはこれまでに累計約9,900万ドル（約156億円）、Dreadnodeは約1,400万ドル（約22億1,000万円）を調達してきたと、PitchBookのデータをもとにTechCrunchが伝えています。
出典: TechCrunch
SalesforceがCrestaを買収、音声AIエージェントをService Cloudへ統合
Salesforceは、顧客対応の音声通話を一貫して処理するAIエージェントを手がけるCrestaの買収で最終合意したと発表しました。買収完了は2028会計年度第1四半期を見込んでおり、規制当局の承認が前提です。Salesforceは価格を公表していませんが、The Informationの報道によれば27億ドル（約4,260億円）とされています。TNWはこの金額を独自に確認できていないとしています。Cresta社の音声エージェントはMarriott、Comcast、Alaska Airlinesなどが企業規模で利用しているとされ、通話中の人間オペレーターへのガイダンスや会話分析も提供しています。Salesforceは10月20日にBraze買収($5.7bn（57億ドル）、約8,990億円)を発表しており、Crestaはそれに続く一連の買収の一つです。
出典: TNW
UiPathが財務AIエージェントを文書単位の従量課金で提供へ
UiPathは、新しい財務向けAIエージェントについて、ソフトウェア導入プロジェクトとして販売するのではなく、処理した文書数に応じて課金する方式を採る方針を示しました。ドバイで開催されたUiPath FUSIONで、同社のシニア・トランスフォーメーション・ディレクターであるMircea Giurcan氏が説明しています。請求書処理と調達を扱うSource-to-Payソリューションの一部は2027年初頭から提供予定で、order-to-cashを含む追加モジュールは2027年半ばに投入されるとしています。課金は「単価×処理件数」になるとGiurcan氏は述べていますが、具体的な単価は公表されていません。UiPathは2月にWorkFusionを買収しており、今回の財務分野への展開はその延長線上にあります。
出典: TNW
編集後記：正規課金という外見の厄介さ
今回の報告で引っかかるのは、不正利用がクラウド提供側から見れば正規の消費として記録されてしまう点です。リクエスト数が1秒間に1,000件を超えても、それが盗まれた認証情報によるものかどうかは、利用量の推移だけでは判別しにくい構造になっています。Googeが挙げる対策がAPI利用量の上限設定やログ監視といった地道な仕組みに集中しているのも、この構造的な見分けにくさが背景にあるのだろうと読めます。被害額そのものよりも、気づくまでの時間が費用を押し上げる要因になっている可能性がある、という点が出典記事から読み取れる範囲です。