悪い広告を一つ見ただけで、手元のパソコンが動かされる。AIの土台に空いていた穴
AIの計算を分けて回すための道具に、大きな穴が見つかった。
しかも突かれていたのは、名乗りを信じるかどうかという入口だった。
うちは使っていない。それでも他人事にはできなかった。
ニュースを読んでいて、背筋が寒くなる書き方をされているものがたまにある。
今回のは、悪い広告が表示されただけで、開発中のパソコンで他人のプログラムが動く、というものだった。
うちはその道具を使っていない。
それでも、読んだあとしばらく自分の作業机を見回すことになった。
何があったのか
アメリカのCISAという政府機関が、2026年8月17日に、ひとつの欠陥を「実際に攻撃に使われている」一覧に追加した。
管理番号はCVE-2025-62593。
対象はRayという、AIや機械学習の計算を何台ものマシンに分けて回すためのオープンソースのソフトだ。
危険度は10点満点で9.4。
修正はバージョン2.52.0で入っていて、欠陥そのものが公表されたのは2025年11月26日だった。
アメリカの連邦政府の機関には、8月20日までに直すことが義務づけられている。
手口のほうが、僕には効いた。
RayはHTTPで仕事を受け付ける窓口を持っていて、そこには認証がなかった。
ブラウザから勝手に叩かれるのを防ぐために置いてあった仕掛けが、通信に付いてくる名乗り（User-Agentという項目）がMozillaという文字で始まっているかどうかを見るだけ、というものだった。
その名乗りは、ブラウザの側から変えられる。
そこにDNSリバインディングという古くからある手口を重ねると、Rayを動かしている人が悪意のあるページを開いただけで、そのページから手元のRayに命令が届いてしまう。
発見したのはセキュリティ会社Oligoの研究者で、ブラウザ側の回避と、DNSを使った組み合わせを、それぞれ別の人が持ち寄っている。
影響を受けるブラウザとしてFirefoxとSafariの名前が挙がっている。
放っておかれた分は、すでに使われている。
公表の2日前には、ある攻撃用のネットワークがこの欠陥を組み込んでいたことが記録されていて、いまは未修正のRayを見つけて、そこに載っている高性能なGPUを暗号資産の採掘に回すという動きが確認されている。
僕がひっかかったところ
ひとつめは、守りが文字列の先頭を見るだけだった、というところだ。
名乗りは名乗りであって、身分証ではない。
頭では分かっているのに、自分の書いたコードにも、この形式で来ているならたぶん本物だろう、で通している場所がいくつかある。
ふたつめは、手元で動かしているものは外から見えない、という思い込みのほうだ。
自分のパソコンの中だけで動かしているサーバーは、インターネットからは直接届かない。
ただ、自分のブラウザからは届く。
今回突かれたのはその隙間で、こちらが別のタブで調べ物をしているあいだに、そのタブが手元へ手を伸ばしてくる形になっている。
作業中の画面を思い出すと、動かしっぱなしのローカルサーバーが二つ三つある日がふつうにある。
終わったのに落とし忘れているものもある。
それが動いている裏で、僕はエラーメッセージを検索して、知らないサイトを開いている。
みっつめは、期限のほうだ。
政府の機関には8月20日までという線が引かれる。
個人や小さなチームには、その線を引いてくれる人がいない。
誰も知らせに来ないので、自分から見にいくか、来ている知らせを読むかしかない。
で、僕はどうするか
三つ決めた。
ひとつめは、立ち上げたローカルサーバーを、その日の終わりに落とすこと。
数えてみるところから始める。
ふたつめは、手元だから安全という前提をやめること。
外に出す予定のないものでも、待ち受けるアドレスを自分のマシンの中だけに絞る。
簡単な合言葉をかけておくだけでも、今回のような通りすがりの命令は弾ける。
みっつめは、更新の知らせを黙らせないことだ。
使っている部品の更新通知は、うるさいので通知を切ってしまいがちになる。
月に一度でいいから、まとめて読む日を決めておく。
外の道具に頼っている場所を書き出しておく話は前にも書いたけれど、今回で理由がひとつ増えた。
読み終わって、いちばん残ったのはこれだ。
穴が空いていたのは、賢い部分ではなく、名乗りを信じるかどうかという、いちばん単純な入口だった。
そういう場所は、たぶん僕のコードにもある。
出典
※運営者が個人で書いているnoteです。