ハッカーがClaudeのサブスクリプショントークンを窃取、Anthropicが警告を発出

大規模言語モデルが開発ワークフローに深く組み込まれる中、Claudeのサブスクリプションユーザーが最新の攻撃対象となっている。TechCrunchが本日報じたところによると、あるClaudeユーザーが先月、誰も使用していない状態にもかかわらず自身のアカウントのトークンが継続的に消費されていることを発見した。Anthropicはその後調査を行い、警告を発出した。ハッカーがユーザーアカウントのアクセス認証情報を密かに窃取し、他人のアカウントを利用してサブスクリプション枠を食い尽くしているというものだ。

TechCrunchの報道によると、このユーザーはAPI使用履歴を確認した際、複数の不審な時間帯にモデルへの呼び出しリクエストが発生しており、一部のリクエストの入出力の長さが自身の通常の操作パターンとは明らかに異なることを発見した。ユーザーは直ちにすべての関連キーを停止し、Anthropicサポートに連絡した。調査の結果、攻撃者は窃取したログイントークンまたはAPIキーを利用して認証を完了し、正規のプロセスを迂回した可能性が高いとされている。

実際に盗まれたものは何か？

Claudeのような大規模言語モデルサービスにおいて、「トークン」は二重の意味を持つ。大多数のサブスクリプションユーザーにとって、トークンはまず課金単位であり、毎月のサブスクリプション枠はトークン数で計測され、呼び出しのたびに対応する枠が差し引かれる。一方、APIを利用する開発者にとっては、サービスにアクセスするためにAPIキーまたは一時的なアクセストークンが必要となる。ハッカーがサブスクリプションユーザーからClaudeのトークンを「盗む」行為は、実質的にアカウントの身元を詐称し、本来ユーザーのものである枠を自身の生成タスクに転用することを意味する。

言い換えれば、ハッカーが盗んでいるのは高度なアルゴリズムではなく、「認証を通過してモデルを直接呼び出す権利」である。ユーザーが丹念に整備したコンテキスト、プロンプト、企業内部ドキュメントは、すべてバックグラウンドで攻撃者の無償の生産性に変わっている可能性がある。

大規模攻撃の具体的な手口はまだ明らかになっていないが、セキュリティ研究者の間では、この種のインシデントは開発者の習慣に起因することが多いと広く認識されている。例えば、APIキーをフロントエンドのコードにハードコードしたり、公開GitHubリポジトリにアップロードしたりする行為が挙げられる。また、Claudeプラグインを装った悪意あるブラウザ拡張機能や、検証されていないサードパーティプロキシサービスも、AI認証情報の窃取における主要な経路となりつつある。

Anthropicの警告は熟読に値する

Anthropicは警告の中で、ユーザーにアカウントの使用量の異常に注意するよう促し、いくつかの基本的な対処を強調した。直ちに最近のAPI呼び出し履歴を確認すること、「Settings」から自分が作成していないAPIキーを失効させること、可能であれば多要素認証を有効にすること、そしてキーの漏洩が疑われる場合は、単に削除するだけでなく直ちにローテーションを行うことが求められている。これらの内容は日常的に聞こえるかもしれないが、AIサービスの文脈では改めて重要なステップとなっている。

クラウドサービスのキー漏洩と同様に、AI APIキーの露出による影響はその年の請求額に留まらない。攻撃者は漏洩したキーを大量にスキャンしてアクティブ状態かどうかを確認し、対応する枠と権限を検証した上で、プロキシを通じて「AIアクセス権」を販売したり、匿名でデータを洗浄したりする。キーがコードインタープリターの実行やファイル処理に使用された場合、データ流出の範囲は制御不能になりかねない。

編集後記：あなたのClaudeアカウントをATMにさせるな

今回のインシデントは改めて私たちに思い起こさせる。AIサービスのサブスクリプションアカウントは本質的に、遠隔操作可能な「財布＋データ金庫」であるということだ。Anthropicが公式に提供できる保護は依然として受動的なものに留まる――異常の検知、アクセスの制限、警告の発出。真に安全を左右するのは、ユーザーがキーの完全なライフサイクル管理を構築する意思を持つかどうかにかかっている。

個人ユーザーにとって最もシンプルな方法は、「Usage」ページを開いて5分間、直近30日間のトークン消費の推移を確認することだ。不審な呼び出しを発見した際は、パスワードを変更するだけでなく、直ちにすべてのAPIキーをローテーションすべきである。企業や長期プロジェクトのチームに対しては、キー管理、割り当て量の警告、承認プロセスについて制度的な整備を行うべきだ。結局のところ、すべてのモデルリクエストの背後には商業上の機密が紐付いている可能性があるからだ。

大規模言語モデルはAI活用の敷居を下げると同時に、デジタル上の身元情報の価値を大幅に高めた。高額なAPIの請求額を前にして、ハッカーと正当なユーザーとの攻防は最終的に、誰が先に異常を発見し、誰がより速くリスクを遮断できるかに集約される。

本稿執筆時点では、Anthropicは影響を受けたユーザーの総数を公表していないが、今回のインシデントは改めて証明している。AIサービスのセキュリティは、モデルが優れているだけでは不十分であり、「鍵」をしっかりと管理する必要があるということだ。使用量の定期的な確認とキーのローテーションを習慣化することは、いかなるセキュリティに関する声明よりも有用である。

本稿はTechCrunchより編訳