Google、97%引きの不正なモデルアクセスを確認

2026年、Google Threat Intelligence Groupは、Google、OpenAI、Anthropicのモデルへのアクセスを最大97%引きで提供するダークウェブの販売者を確認した。不正市場の内部では、この3つの競合ラボは交換可能になっていた。有効な認証情報を持つ者は、アカウントが失効するまで希少な推論を利用できた。

Anthropicが2024年にModel Context Protocolを公開したことで、アシスタントはデータソースに接続された。2026年までにGoogleはAIエージェントを電話、家庭用デバイス、企業サービスへ接続し、OpenAIは権限境界を備えたエージェント管理製品を投入した。これらのシステムは、プロンプトへの応答から、システムをまたぐ行動の委任へ移行した。行動が1つ加わるごとに、誰かが新たな権限を発行し、監視し、取り消す必要が生じた。

盗まれたログインは推論を持参人資産に変える

セキュリティ研究者も、企業の高価なAIリソースを狙う「LLM-jacking」攻撃が増加していると警告した。

有効な認証情報があれば、販売者はモデルを保有せず、GPUを借りずに推論を転売できる。その認証情報は、プロバイダー、顧客、または仲介者が不正利用を検知して閉鎖するまで、利用権限を与える。この構造により、サブスクリプション、APIキー、サービスアカウントは一時的な持参人資産となる。

この割引は、単なる窃盗以上の事実を示している。ダークウェブの販売者が競合モデルサービスを同じ店頭に並べられるのは、侵害されたアクセスによって、プロバイダー間の差異よりも利用可能な権限のほうが重要になるためである。安価な推論を求める買い手は、まだ使えるアカウントならどれでも受け入れられる。侵害された認証情報が、すでに統合コストを支払っているからだ。

これはAIアクセス裁定取引である。正規顧客はプロバイダーの条件でアクセスを取得し、攻撃者は実質的な便益を移転し、不正市場は公示料金とは切り離された価格で需給を成立させる。Google Threat Intelligence Groupは、個々の不正請求を最終的にプロバイダーと顧客のどちらが負担するかは明らかにしていない。ただし同グループは、再販者が価値を獲得する一方、検知、調査、修復のコストを他者へ転嫁できることを確認した。

ダークウェブの販売者はすでに、Google、OpenAI、Anthropicを1つの確認済み不正アクセス市場で結び付けている。関連する安全標準を介した2つの報告済みの接続について、各社はまだ確認していない。犯罪的な販売者は、プロバイダーが確認済みの共通コントロール体制を確立する前に、実務上の相互運用性を実現している。関連するHugging Faceのアクセス制御インシデントは、モデルハブでも同じ根本問題を示した。そこでは、アカウントに付与された権限が、保存されているソフトウェアと同じほど重要だった。

Googleはサインインで表現できる以上の速さで権限を委任している

Googleのリスクは、Gemini APIの利用を超えて広がっている。同社は、Geminiがユーザーに代わって企業へ電話できるCall for Meをテストしている。Googleは当初、このテストをGeminiサブスクリプションを持つ米国のPixel 11ユーザーに限定した。このエージェントは、別の相手に対してユーザーを代理しながら情報を取得する。

Google Homeは委任を物理的な環境へ持ち込む。同社のMCP統合により、サードパーティーのエージェントは、米国のPremium Advancedユーザー向けにホームデータを分析し、デバイスを制御し、ダッシュボードを構築できる。Googleはまた、エージェント群のライフサイクルを管理するVertex AI上のGemini Enterprise Agent Platformを発表した。

これらの製品は、それぞれ異なる権限を持つ異なる主体を生み出す。アカウントを所有するのは人間である。エージェントは委任された指示の下で動く。デバイスは状態を公開し、コマンドを受け付ける。サードパーティーのサービスはコンテキストを提供するか、タスクを実行する。リクエストが製品境界をまたぐ際、Googleはそれらの連鎖を維持しなければならない。最初に人間を認証しても、下流のすべてのマシンに何が許されるかは定まらない。

入手可能なGoogle Homeに関する報道では、正確な認証情報のスコープ、どのエージェントがどのデバイスを制御できるか、承認が各行動に紐付くのかセッションをまたいで継続するのか、ユーザーがどれほど迅速にアクセスを取り消せるのかは記録されていない。また、誤った行動に対する監査、証明、確認、インシデント対応、責任のルールも明らかになっていない。Googleがそうしたコントロールを備えている可能性はあるが、公開情報だけではその成熟度を判断できない。

Call for Meは、同じ設計問題をより限定的な形で突き付ける。Googleはユーザーの意図とエージェントによる実装を区別し、そのうえでエージェントを要求された企業への通話に制限しなければならない。Geminiがユーザーを代理し、情報を取得し、外部サービスとやり取りできるようになると、「Geminiを使う」といったアカウントレベルの権限では情報が少なすぎる。

希少なGPUは不正な認証情報の被害範囲を広げる

Epoch AIは、Googleが世界のAIコンピューティング能力のおよそ25%を管理していると推計した。これには約3.8 million TPUsと1.3 million GPUsが含まれる。OpenAIは、米国のAIコンピューティング容量10GWを契約し、直前の90日間に3GW超を追加したと述べた。AWSとの契約の下で、OpenAIは米国で数十万台のNvidia GPUsを使用すると述べた。

他の買い手も、より小規模ながら同様に具体的なコミットメントを行っている。Recursive Superintelligenceは5月に$650 millionを調達した後、$410 million相当の複数年AWSコンピューティング契約を締結した。こうした契約は特定の顧客に容量を割り当てるが、受理されたすべてのリクエストが意図された人物、アプリケーション、エージェントから来たものかは判定できない。

大手クラウドプロバイダーが供給を社内チームと主要顧客に振り向けるなか、小規模なAIスタートアップはNvidia GPUsの確保に苦戦してきた。OpenAIの容量契約とこうした不足は、アイデンティティがハードウェア、モデル品質、流通、独自データ、クラウド経済性に取って代わり、競争優位になったという安易な結論を退ける。

コンピューティングが希少であれば、盗まれた認証情報は、別の企業が多額の費用を投じて確保した予約済み容量を露出させうる。物理的なサプライチェーンはGPUを正しいデータセンターに配置し、正しい商業アカウントに割り当てることができる。それでも論理的なリクエストは誤った主体から来うる。

侵害された権限は、コンピューティングの管理連鎖をアイデンティティの問題に変える。チップメーカーはハードウェアの来歴を確立する。クラウドはマシンを割り当てる。モデルプロバイダーは推論を計測する。顧客はアプリケーションとエージェントにアクセスを委任する。各参加者は自らの工程を正しく完了できるが、侵害された権限が最終的な割り当てを損なう。フロンティアラボの資金調達ループは、利用する権利を確保しないまま、より多くの容量を確保できる。

エージェントの権限はタスクの速度で失効しなければならない

Agentic AI Foundationによる7月のMCPアップデートでは、完全にステートレスなアーキテクチャ、強化された認証モデル、正式な12か月の非推奨化ポリシーが導入された。エージェント接続はコンテキストの取得とツールの実行を組み合わせうるため、プロトコル保守者は認証を中核的なアーキテクチャ上の課題とした。したがって、認証判断はデータの読み取り以上を許可しうる。

GitHubの公式MCPサーバーを調査した研究者は、攻撃者がLLMエージェントをだましてMCPユーザーの非公開情報を漏えいさせられることを発見した。エージェントは正当なアクセスを維持していたが、攻撃者はそのアクセスの使い方を誘導した。エージェントを認証しても、その行動がユーザーの意図したタスクに沿い続けるとは限らない。

本番のコントロールプレーンは、各マシン主体に固有のアイデンティティを与え、それを名前付きの主体に結び付け、リソースと行動を特定のタスクに制限し、時間と支出の上限を設け、行動を記録し、失効を接続されたすべてのモデルとツールへ伝播させなければならない。委任されたトークンが別の場所で機能し続けるなら、人間のセッションだけを失効させるプロバイダーに安心の余地はほとんどない。

開発者はすでに、このレイヤーの部品を組み立てている。OpenAIのFrontierは、限定された顧客群に共有コンテキスト、オンボーディング、権限境界を提供する。Googleのエンタープライズプラットフォームは、エージェント群をライフサイクル全体で管理する。Oakは、AIネイティブのアイデンティティおよびアクセス管理を構築するため、$60 millionのシードラウンドを得てステルス状態から姿を現した。これらの製品を調整する必要は誰にもなかった。システムをまたいで権限を運ぶエージェントが、各開発者にとって同じ制御問題への対処を合理的なものにした。

運用者は、エージェントシステムを異なる方法で監視しなければならない。モデルの評価スコアはテスト条件下での能力を測る。認可システムは、デプロイ中の行為を評価しなければならない。どのエージェントが、誰の付与の下で、どのリソースに対して、どのツールを呼び出したか。そしてその一連の行為が、承認されたタスクとなお一致しているかである。運用者は、モデルが行動できるかだけでなく、なお行動してよいのかも把握しなければならない。

価値あるコントロールプレーンは拒否することで信頼を得る

Oktaは、会計年度第2四半期の売上高が前年比11%増の$805 million、純利益が73%増の$116 millionだったと報告した。同社はAIアイデンティティセキュリティへの需要拡大にも言及した。その後Oktaは、報道によれば$200 million弱と評価された取引で、AIアイデンティティのスタートアップPermisoを買収することに合意した。

Oktaは、既存のカテゴリーがいかに執行を軸に収束しうるかを示している。モデルプロバイダーはトークンを計測し、ツールを制限できる。クラウドプラットフォームはアイデンティティを請求と容量に接続できる。アイデンティティベンダーは複数のクラウドとモデルをまたいで主体を追跡できる。ゲートウェイは境界でリクエストを検査できる。顧客には、特定の行動が引き続き認可されているかについて、この4つの機能すべてが一致する必要がある。

組み込み型コントロールプレーンは、顧客がエージェントの役割、承認ポリシー、行動ベースライン、インシデント履歴、失効手順をその内部に記述すると、スイッチングコストを蓄積できる。異常が検知を改善し、インシデントが対応を試すたびに、運用者はプロセス上の優位性も育てる。その優位性は、権限とリスクに関する信頼できる記録システムとして機能することから生じる。

97%の割引があっても、モデルプロバイダーは品質、流通、独自データ、クラウド経済性で競争を続けている。Oktaの四半期決算は、独立系アイデンティティベンダーがこのレイヤーを所有することを示すものではない。OpenAI、Anthropic、AWS、Microsoft、および100社超は、AI対応サイバー攻撃への備えに使える時間が限られていると警告している。しかし、この警告は、どの参加者が経済的価値を獲得するかを決めるものではない。

顧客がモデル間を移動でき、エージェントがツール境界をまたげると、単一のプロバイダーが認可の連鎖全体を見ることはできない。97%の割引はその盲点に価格を付けている。持続的な優位性は、次のトークン、電話、物理的行動が実行される前に、モデル、ツール、デバイス、クラウドをまたいで不正な権限を失効させられる運用者に属する。