大手AIモデルすべての「心の声」が大規模な脆弱性により流出

要約

• リサーチチームは、Anthropic、OpenAI、GoogleがいずれもAI推論トークンに単一のグローバル暗号化キーを使用していることを発見しました。
• 公開されているGitHubやHugging Faceのリポジトリから収集された315,320個の推論ブロックをデコードした結果、研究者らは62個のアクティブなAPIキー、33個のパスワード、30個の個人のメールアドレスを含む182個の認証情報を回収しました。
• OpenAI、Anthropic、Googleは責任ある開示を受けてサーバー側のパッチを適用しましたが、すでに公開されている過去のセッションログは引き続きデコード可能です。

セキュリティ研究者らは、主要なすべてのAI推論モデルの暗号化された「心の声」を読み取る方法を発見し、開発者が内容を知らずにオンラインで公開していたセッションログに埋もれていた62個のアクティブなAPIキーと33個のパスワードを明らかにしました。

「公開リポジトリから収集した315,320個の推論ブロックをデコードすることで、367個の個人情報（PII）アーティファクトと182個の認証情報を回収しました」と研究者らは記しています。

MATS Research、ELLIS Institute Tübingen、Max Planck Institute for Intelligent Systems、およびセキュリティ企業Snykのチームによって8月10日に提出された論文は、特定のクラスのAI、すなわち推論モデルを対象としています。これらは、即座に回答するのではなく、内部的な思考の連鎖（AIが答えを出す前に問題を解くステップバイステップのスクラッチパッド）から始まり、最終的な回答を出すモデルです。

Anthropic、OpenAI、Googleはいずれも、その隠されたスクラッチパッドを暗号化しています。暗号化（データを読み取れないコードに変換するプロセス）は、企業の知的財産を保護し、機密性の高い中間推論をユーザーから遠ざけることを目的としています。暗号化されたブロックは、フォローアップメッセージのたびにプロバイダーのサーバーに送り返され、企業側に何も保存することなく会話を維持します。

すべてを支配する一つのキー

この欠陥はアーキテクチャ上のものです。暗号化された各推論ブロックを特定のユーザー、セッション、またはモデルに紐付ける代わりに、3つのプロバイダーすべてがエコシステム全体で単一のプロバイダー全体の暗号化キーを使用しています。「これらの暗号化されたブロックは、プロバイダーのエコシステム内であれば、異なるセッション、ユーザー、さらには異なるモデル間でも完全に互換性があり、入れ替え可能です」と研究者らは述べています。

つまり、AnthropicのフラッグシップモデルであるClaude Opus 4.8からの暗号化された推論ブロックを、Anthropicのルールに違反することなく、より安価でガードの緩い兄弟モデルであるClaude Haiku 4.5に注入できることを意味します。Haikuには、Opusが備えているアンチ蒸留アライメント（モデルが命令に応じて自らの推論を書き写すのを防ぐために特別に設計された安全トレーニング）が欠けています。