LLMjacking 攻撃について考える：AWS アカウントの侵害と AI Model 使用料の付け替え

Hackers Hijack AWS Account to Run Paid AI Models in LLMjacking Attack

2026/09/04 hackread — FortiGuard Labs が最近追跡している事例の 1 つに、Amazon Bedrock を介して有料 AI モデルへアクセスするために悪用された AWS アカウントの侵害がある。漏洩した AWS Identity and Access Management (IAM) アクセスキーを悪用してアカウントへアクセスした攻撃者は、その権限を利用して基盤モデルの利用契約を成立させ、モデルを呼び出した。このインシデントは、LLMjacking の一例である。LLMjacking とは、侵害した認証情報を使用してホスト型 AI モデルを不正に利用する行為を指す用語であり、Sysdig が 2024年に提唱したものである。FortiGuard Labs は、このインシデントの詳細を最近公開した調査記事で報告している。

攻撃の開始方法

攻撃者は、長期間有効で AdministratorAccess 権限が付与された、漏洩した IAM アクセスキーを悪用して AWS アカウントへアクセスし、その権限を利用して AWS Marketplace Agreement Request である “CreateAgreementRequest” ／ “AcceptAgreementRequest” などを使用した。こうして基盤モデルを利用可能にした後に、モデルを呼び出したことで、発生した推論料金が侵害されたアカウントに請求された。

一般的に、この種の攻撃では Bedrock のサービス固有の認証情報を作成することが含まれると Fortinet は指摘しているが、同社が分析した今回のインシデントでは、この手順が実行されたとは報告されていない。そのため、有効な認証情報を使用して正規のクラウドサービスを悪用する攻撃者の呼び出しが通常の API トラフィックに紛れ込む可能性があり、FortiGuard Labs は「侵害されているが有効な IAM Identity からの Bedrock InvokeModel 呼び出しは、API レベルでは正規の利用と区別できない」と述べている。

Attack chain in the AWS account compromise (Source: Fortinet)
LLMjacking のコスト

窃取されたアクセス権は、攻撃者によって悪用されたり転売されたりする可能性がある。2026年1月に Pillar Security が報告した Operation Bizarre Bazaar は、その実態を示す事例の 1 つであり、外部に公開された AI インフラを標的とする 35,000 件の攻撃セッションを捕捉したキャンペーンである。この活動には、Telegram ／ Discord を介して 30 社を超える LLM プロバイダへのアクセスを提供するマーケットプレイスも含まれていた。

LLMjacking による被害は、アクセス権の悪用だけでなく、高額な利用料金にも及ぶ可能性がある。Sysdig の試算では、複数のAWSリージョンにわたって Claude 2.x の最大クォータが悪用された場合、被害者に発生するコストは 1日あたり $46,000 を超える可能性がある。その後の調査では、Claude 3 Opus が悪用された場合、1 日あたりのコストが $100,000 を超える可能性があると推定されている。

AI 研究機関 METR が公表した別の API キー窃取事例でも、攻撃者は 2026年3月に API キーを窃取し、3 週間にわたって約 $600,000 相当のクレジットを使用した。この事例は未認可のモデル利用がどれほど大規模になり得るかを示しているが、METR 自体に推定額の金銭的損失が発生したわけではなかった。使用されたクレジットは、モデル開発者から METR へ無償で付与されたものであり、それにより公開されているモデルにアクセスできるようになっていた。

FortiGuard Labs が推奨しているのは、アクティビティを追跡するための AWS CloudTrail ／Bedrock Invocation Logging の有効化と、可能な範囲で長期間有効な管理者キーを短期間有効な認証情報へ置き換えることである。

Amazon Bedrock に関する、クラウド環境での権限管理を解説する記事です。長期の管理者権限を持つ IAM アクセスキーが漏洩し、攻撃者に悪用された場合の金銭的影響が懸念されます。影響には認証情報悪用／モデル利用契約締結／不正呼び出しに伴う莫大な推論料金の発生／正規トラフィックへの紛れ込みがあり、クラウド運用での対応策には権限管理の適正化／短期認証情報への移行／AWS CloudTrail (Amazon Bedrock Invocation Logging) の有効化／ログ監視の実践が強く求められます。