あるセキュリティ研究者がAnthropic Claudeのトラフィックを処理する中国拠点のLLMルーターから6TBのルーティングセッションデータを入手し、Huaweiやxiaomiを含む中国政府機関や企業を侵害するのに十分な認証情報を発見した。

具体的な被害者よりも、そのメカニズムの方が重要である。LLMルーターやプロキシは現在、アプリケーションとモデルプロバイダーの間に見えないミドルウェアとして存在し、コスト裁定、マルチモデルフェイルオーバー、地域限定APIへのアクセスを目的に選択されている。それらのすべてが、デフォルトで完全なリクエストとレスポンスのストリームをログに記録している。そのストリームはもはや自然言語だけではない。現代のプロンプトには、APIキー、OAuthトークン、データベース接続文字列、内部エンドポイント、コンテキストのために貼り付けられた顧客レコードが日常的に含まれている。ルーターはそれらすべてを静かに1つのインデックス化された検索可能なコーパスに集約する。そのコーパスが漏洩すると、攻撃者は偵察を完全にスキップし、事前にソートされた認証情報インベントリを継承する。これは古典的なデータベース侵害よりも構造的に深刻な露出である。なぜなら、データはすでに文脈化されているからだ。誰がキーを所有し、何をアンロックし、どのように使用されるかが、すべて同じセッションログ内に存在している。

経営幹部にとっての戦略的な変化は、AI導入が既存のセキュリティプログラムでは見えない新たな階層のシャドーインフラを生み出したということである。CASBやDLPツールはSaaSとファイル流出のために構築されたものであり、不透明なサードパーティゲートウェイに流れるプロンプトペイロードのためではない。調達部門がこれらの仲介者を精査する際の厳格さは、クラウドプロバイダーに適用されるものに達していないことが多いが、それらは今や組織内で最も機密性の高い平文の一部を保持している。

日本の企業やSIerにとって、これは深刻かつ喫緊のリスクである。NTデータ、富士通、野村クラスの統合プロジェクトで生成AIを展開する急速な動きは、1つの契約でOpenAI、Anthropic、国内モデルを使い分けるための集約レイヤーに頻繁に依存している。コスト重視のチームやオフショア開発パートナーは、セッションがどこに記録されるか、どの管轄下にあるかを確認せずに、利用可能な最も安価なルーターに手を伸ばすことが多い。これに、本番環境の設定や認証情報をチャットインターフェースに直接コピー&ペーストする日本の根強い文化や、マスクされていない業務データをLLM呼び出しにパイプするRPAボットが組み合わさると、漏洩の表面積は膨大であり、ほとんど監視されていない。

防御策は具体的である。すべてのLLMゲートウェイをクラウドベンダーと同じデューデリジェンスを必要とするデータプロセッサーとして扱い、サードパーティのログ記録のない会社承認のルーティングレイヤーを義務付け、流出前のプロンプトレベルのシークレットスキャンとリダクションを展開し、外部ルーターを経由したことのあるすべての認証情報をローテーションする。このガバナンスをAI提供サービスにパッケージ化できるSIerは、真の差別化要因を見出すだろう。なぜなら、ほとんどのクライアントはゲートウェイ自体が最も弱いリンクであることにまだ気づいていないからである。