オープンソースパッケージStarletteに「BadHost」脆弱性発見、数百万のAIエージェントが危機に

5月27日、セキュリティ研究者らはStarletteオープンソースPythonパッケージに影響を与える高危険度の脆弱性「BadHost」を公開した。この脆弱性は、直接または間接的に当該パッケージに依存している数百万のAIエージェント、APIサービス、Webアプリケーションに波及し、業界に衝撃を与えている。Starletteは、Pythonエコシステムにおける軽量非同期Webフレームワークの中核コンポーネントであり、週間ダウンロード数は3億2500万回に達し、FastAPI、LangChain、Sanicなど主要フレームワークで広く採用されている。AIエージェントや自動運転、スマートカスタマーサービスなどのシーンが爆発的に普及する中、この脆弱性の潜在的破壊力は何倍にも拡大している。

脆弱性の詳細：Hostヘッダー偽造が引き起こす連鎖反応

Ars Technicaの報道によると、BadHost脆弱性はStarletteのURL解析とリクエスト配信メカニズムに存在する。偽造された「Host」ヘッダーまたは不正な形式のHTTPリクエストを処理する際、フレームワークがホスト名を正しく検証できず、攻撃者は内部認証のバイパス、キャッシュポイズニングの実行、セッションハイジャックの実施を可能にする。さらに深刻なことに、多くのAIエージェントシステム（LangChainベースのAgentなど）はユーザーリクエストを外部APIに直接転送するため、中間段階の検証失敗は悪意のある命令がバックエンドのコアモジュールに浸透する可能性を意味する。セキュリティ会社DFIRの研究員は次のように指摘する：「これは単なるWebアプリケーションの脆弱性ではなく、AIサプライチェーンの弱点である。攻撃者は正当なサービスプロバイダーになりすまし、AIエージェントの行動ロジックを操ることができる。」

「Starletteで構築されたすべてのAIエージェントは、攻撃チェーンにおける『トロイの木馬』になり得る。」—— DFIR主席研究員 佐藤健

PoCでは、攻撃者は事前に仕込まれたトロイの木馬を利用してこの脆弱性を悪用し、ブラックボックス環境下で大手クラウドサービスプロバイダーのマルチモーダルAIモデルの出力結果の改ざんに成功した。Starletteチームは24時間以内にパッチ（バージョン0.38.4+）をリリースしたものの、影響を受けたシステムのアップグレード進捗は遅れる可能性がある。統計によると、本稿執筆時点で、依然として60%以上のStarletteインスタンスがパッチ未適用の状態となっている。

AI Agent：脆弱性の「完璧な被害者」

従来のWebアプリケーションとは異なり、AIエージェントは自律的な意思決定、ツール呼び出し、環境インタラクションの能力を備えている。エージェントのHTTPクライアントが悪用されると、攻撃者は会話履歴を盗み出すだけでなく、エージェントに悪意ある第三者インターフェースを呼び出させ、さらには外部データベースやファイルシステムを間接的に操作することもできる。OpenAIやAnthropicなどのプラットフォームは当該パッケージを直接使用していないが、それらの多数のサードパーティプラグインやAgentホスティングサービス（AutoGPT、SuperAGIなど）はFastAPIに依存しており、結果として影響を受けている。業界専門家は「AIフレームワークセキュリティベースライン」の確立を求め、重要な依存関係に対する強制的なコード監査の実施を提唱している。

編集者注：オープンソースセキュリティとAI時代の駆け引き

BadHost脆弱性は単発の事例ではない。2025年に発生した「Log4j2-CVE-2025」は世界のAI推論サービスの半数を停止に追い込んだ。Starletteのケースは再び警鐘を鳴らしている：AIアプリケーションが急速に反復進化する中、開発者はしばしばモデルの能力とパフォーマンスを優先し、基盤インフラのファームウェアレベルの脆弱性を軽視している。MongoDBやRedisなどのデータ層の脆弱性が頻発する中、今やWebフレームワークが新たな突破口となっている。企業に推奨されること：1）SBOM（ソフトウェア部品表）を構築し、依存関係の脆弱性をリアルタイムで追跡する；2）AIエージェントの対外HTTPリクエストにサンドボックス分離を実施する；3）ゼロトラストアーキテクチャを採用し、たとえ「正当な」エージェントであっても都度認証を行う。セキュリティを左へシフトしてこそ、AIは真に信頼できるものとなる。

本記事はArs Technicaから翻訳・編集