ニュース約4分で読めます

盗まれたAIのAPIキーで攻撃、費用は持ち主に地下フォーラムの調査が示す対策

米Bitsightは2026年10月15日、16の地下フォーラムを調べた結果を公表しました。盗んだOpenAI・Anthropic・GoogleなどのAPIキーを差し込んで動かす攻撃ツールが売られ、費用はキーの持ち主が払わされる形です。AIの話題が45%増えた一方で、手口はAIエージェントや道具の悪用に移っています。情シスが確かめることを整理します。

公開 2026年10月17日 05:34情シスのミカタ編集部AIにより執筆チェック済み

文字

この記事のまとめ

米Bitsightの脅威情報チームは、2026年2〜8月に16の地下フォーラムの投稿を調べ、AIに関する話題が45%増えた一方、ランサムウェアの話題は49%減ったと公表しました。調べた場の少なくとも3分の1が、AI専用の掲示板を設けていました。
盗んだOpenAI・Anthropic・GoogleのAPIキーを差し込み、予算の上限と攻撃先を決めると自動で調べて回るツールが売られていました。AIの利用料は、キーを盗まれた側に請求されます。Bitsightは、こうしたツールのために盗んだキーを売る市場が増えるとみています。
Bitsightは、AIのAPIキーの漏えいをAWSの認証情報と同じ重さで扱うこと、MCPサーバーやプラグインの出どころを確かめること、手元で動くAIのコーディング支援の権限を絞ることなどを勧めています。

こんな方に#30代 #40代 #50代実務

テーマ#生成AI #APIキー #脅威動向 #シークレット管理 #MCP

目次ひらく

1何が分かったのか
2盗んだAPIキーを差し込む攻撃ツール
3AIの道具そのものも狙われる
4影響する会社・しない会社
5情シスが今日やること
6書かれていないこと

会社のAIのAPIキーが漏れると、他人への攻撃の費用を払わされる。そんな使われ方が、地下の犯罪フォーラムで商品になっています。米国のセキュリティ会社Bitsightは2026年10月15日、16の地下フォーラムを調べた結果を公表しました。AIの話題が増えるなかで、手口がAIエージェントやAIの道具の悪用に移っている様子が見えます。調査の中身と、情シスが確かめることを整理します。

何が分かったのか

Bitsightの脅威情報チームは、2026年2月から8月までに、16の地下フォーラムの数千件の投稿を調べました。盗んだアカウントの転売の場から、技術的に高度なロシア語圏のハッキングのフォーラムまでを含みます。

AIに関する話題は45%増えました。比べるために数えたランサムウェアの話題は49%、フィッシングの話題は8%減りました。ランサムウェアの減少には、摘発や閉じた場への移動といった別の理由もありえるとしています
調べた場の少なくとも3分の1が、AI専用の掲示板を設けていました。Bitsightは、AIを使う手口が犯罪の世界に定着した表れだとみています
AIの安全の仕組みを外させる手口(ジェイルブレイク)は今も最も多い話題ですが、腕のある者は、自分のサーバーで動かせる公開モデル(GLM、DeepSeek、Kimiなど)に移っているとしています

Bitsightのブログの画面。The New Frontier of Malicious AI: What Underground Forums Tell Us About the Evolution of Cybercrime Tradecraftという題と、2026年10月15日の日付 — Bitsightが2026年10月15日に公表した、地下フォーラムとAIの調査出典: Bitsight(引用)

盗んだAPIキーを差し込む攻撃ツール

特に注意したいのが、盗んだAPIキーを持ち込んで使う攻撃ツールです。Bitsightは、限られた人しか入れないフォーラムで売られていた「MONST3R-AI」というツールを確認しました。

買い手は、盗んだOpenAI、Anthropic、GoogleのAPIキーを管理画面に貼り付け、予算の上限を決めて、攻撃先の一覧を指示する
AIエージェントが、自動で攻撃先を調べて回る
売り手は自前のAIを持たず、AIの利用料は、キーを盗まれた側に請求される

売り手は「199台を調べて1,072件を見つけた」としていますが、自己申告で、Bitsightも確かめられないとしています。そのうえでBitsightは、こうしたツールに使うためだけに盗んだキーを売る市場が増えるとみています。

AIの道具そのものも狙われる

AIエージェントや、AIに外部の道具をつなぐ仕組み(MCP)を使った手口も報告されています。フォーラムでは、ブラウザを自動で操作するAIエージェントで、企業のNotionのアカウントに入り込んだと示す投稿がありました。

また、AIの「スキル」やMCPサーバーを装ったGitHubの偽のリポジトリでマルウェアを広げる手口(FakeGit)も、フォーラムで詳しく分析されていました。この手口は、GitHubの偽AIスキル・MCPサーバー800件超 FakeGitと社内の入手ルールで紹介しています。

影響する会社・しない会社

影響する: OpenAI、Anthropic、GoogleなどのAIのAPIキーを、開発や業務の仕組みで使っている会社。キーがコードや設定に書かれたままになっていないかが焦点です。
影響する: 開発者が、AIのコーディング支援やMCPサーバー、プラグインを使っている会社。
影響する: Notion、Slack、GitHubなどのSaaSを使う会社。自動のアクセスに気づけるかが問われます。
関係が薄い: AIのAPIキーを持たず、SaaSの利用も限られる会社。

情シスが今日やること

社内のAIのAPIキーを一覧にします。誰が、どの提供元の、どの用途のキーを持っているかを確かめ、使っていないキーは無効にします。
キーが漏れていないかを調べます。コードの置き場、CI/CDの設定、共有のドキュメントを、秘密情報を探すツールで確かめます。BitsightはAIのAPIキーの漏えいを、AWSの認証情報と同じ重さで扱うよう勧めています。GitHubの対策はGitHub、Anthropic鍵を既定で送信遮断無料の公開リポジトリも対象も参考になります。
提供元の管理画面で、利用量や利用額の急な増え方に気づける設定にします。上限や通知を設定できる場合は設定し、用途ごとにキーを分けて、漏れたときの範囲を小さくします。
MCPサーバー、AIのコーディング支援の拡張機能、プラグインは、出どころを確かめたものだけを使うよう決めます。手元で動くAIのコーディング支援には、大事なフォルダーを読ませない、人の承認なしに命令を実行させない、といった権限の絞り込みをします。AIエージェントへの権限の渡し方は、「APIキーは.envに」はもう危ない AIエージェントに渡す権限の決め方にまとめています。
SaaSへのログインの記録で、人ではありえない間隔や速さのアクセスがないかを見張れるようにします。