はじめに
三菱電機の山元です。
近年、AIを利用した開発や、AI関連のサービスを外部公開するケースが増えています。その一方で、意図せず管理用インターフェースや開発用APIが公開されていると、攻撃者による探索や、設定不備を突いた攻撃を受ける可能性があります。
今回は注意喚起を目的として、弊社のクラウド上に構築したハニーポットで観測した、AIツール・サービスの公開有無を調査していると見られるリクエストについてご紹介します。
探索リクエストの概要
リクエストの内容と推測
ハニーポットで観測された、AIツール・サービスの稼働状況や公開状況を調査していると見られるリクエストを以下に示します。
なお、ここでは利用者の多いツールを標的とするURIや、観測数の多いURIを紹介しますが、この他にもAI関連のツール・サービスが標的であると推測するリクエストは、多数確認されています。
| 対象と推測する ツール・サービス |
観測URI | 想定される探索内容 |
|---|---|---|
| MLflow |
/api/2.0/mlflow/registered-models/list/api/2.0/mlflow/runs/search
|
MLflowのモデルレジストリや実行履歴が外部公開されているかの確認 |
| LiteLLM | /ui/model_hub_table/ |
LiteLLMで利用可能なモデル/エージェントが外部公開されているかの確認 |
| LM Studio |
/lmstudio/diagnostics/lmstudio-greeting
|
LM Studioの診断用エンドポイントやAPIの公開状況の確認 ただしLM Studio公式ドキュメントに記載されたエンドポイントではない |
| Flowise | /api/v1/public-chatflows |
Flowiseの脆弱性（CVE-2026-41278）に関する機能・エンドポイントの公開状況の確認 |
| AIエージェント / AI関連プラグイン |
/.well-known/agent.json/.well-known/agent-ui.json/.well-known/ai-plugin.json/.well-known/mcp.json
|
エージェント関連メタ情報やプラグイン設定の公開有無の確認 |
表より、AIエージェント関連のツールや、AIサービスの構成情報などが探索対象になっていることが分かります。
攻撃者は、公開されたAI関連機能やメタ情報を探索し、認証・認可の有無や設定不備、内部情報の取得可否など、悪用可能な情報が取得できるか確認していると考えられます。
リクエストが標的とするツール・サービス
表で示したAI関連サービスを公開しているサーバーを探索する意図があると推測されるリクエストについて、標的と推測されるツール・サービスを説明します。
/api/2.0/mlflow/registered-models/list, /api/2.0/mlflow/runs/search
MLflow（機械学習モデルの管理や実験管理に利用されるMLOps基盤）のAPIを探索しているものと考えられます。
登録済みモデル一覧や実行履歴の検索APIが外部から利用可能かを確認している可能性があります。
/ui/model_hub_table/
LiteLLM（LLMへのアクセスなどの統一APIを提供するツール）において、AI Hub1と呼ばれる利用可能なモデル/エージェントを共有する機能を探索するリクエストであると推測されます。
/lmstudio/diagnostics, /lmstudio-greeting
LM Studio（ローカル環境でLLMを扱うためのツール）の公開状況を探索していると考えられます。
ただし、今回観測したURIは、LM Studio公式ドキュメントに記載されたエンドポイントではありません。
lmstudioというパス名から、LM Studioの診断画面や初期応答用のパスを確認することで、サービスの稼働状況や公開状態を把握しようとしている可能性があります。
/api/v1/public-chatflows
/api/v1/xxというパスは、Webアプリケーションにおいて広く利用されるパスです。
ただし、Flowise（AIアプリケーション構築ツール）の/api/v1/public-chatflowsエンドポイントには、2026/04/24に公開された脆弱性（CVE-2026-41278）が報告されています。今回のリクエストでは、それに関連する脆弱性を探索している可能性があります。
/.well-known/agent.json, /.well-known/agent-ui.json, /.well-known/ai-plugin.json
/.well-known/ はRFC8615で定義された、サーバーのメタ情報や標準設定を公開するために利用されるパスです。近年、AI関連サービスでも/.well-known/配下にAI関連のメタ情報を置く例が見られるため、探索対象になりやすいと考えられます。攻撃者はリクエストを通じて、利用可能なAIエージェント関連のサービスを探索していると見られます。
| パス | 内容 | 推測する意図 |
|---|---|---|
/.well-known/agent.json |
AIエージェントの自己紹介用メタデータ | サーバー上の利用可能なAIエージェントの探索 |
/.well-known/agent-ui.json |
エージェント向けUI・利用支援情報（推測を含みます。） | 利用可能なAIエージェント用のUIや利用支援情報の探索 |
/.well-known/ai-plugin.json |
ChatGPT Plugin 用マニフェスト | ChatGPT Pluginとして利用可能なAPIの探索 |
/.well-known/mcp.json |
MCPサーバー発見用メタデータ | MCPで接続可能なサーバーの探索 |
探索リクエストの観測状況
観測状況
今回は2026/03/01 00:00:00～2026/06/10 00:00:00（JST）に観測されたリクエストの状況をご紹介いたします。
今回ご紹介したリクエストの観測状況について、ツール・サービス毎に分けて積み上げグラフを示します。
縦軸は観測したリクエスト数、横軸は観測日です。
グラフより、AI関連ツール・サービスに対する探索が断続的に行われていることが分かります。
観測リクエスト数と初観測日
ツール・サービス毎の観測リクエスト数と、初観測日を示します。
| ツール・サービス | URI | リクエスト数 | 初観測 |
|---|---|---|---|
| MLflow | /api/2.0/mlflow/registered-models/list, /api/2.0/mlflow/runs/search |
46 | 2026/03/10 |
| LiteLLM | /ui/model_hub_table/ | 37 | 2026/06/05 |
| LM Studio | /lmstudio/diagnostics,/lmstudio-greeting | 34 | 2026/03/10 |
| Flowise | /api/v1/public-chatflows | 38 | 2026/06/05 |
| AIエージェント / AI関連プラグイン | /.well-known/agent.json, /.well-known/agent-ui.json, /.well-known/ai-plugin.json, /.well-known/mcp.json |
425 | 2026/03/10 |
3月には観測されていなかったLiteLLMやFlowise関連のURIが6月に確認されており、探索対象が拡大していることが分かります。
リクエストの送信元組織
送信元の組織を調査したところ、3月は主にアメリカを拠点とするクラウド事業者、6月は主にアメリカを拠点とするホスティング事業者が送信元でした。真の送信元は各事業者の利用者であり、その特定は困難です。
ただし、3月・6月ともに、探索のタイミングや利用している事業者に共通点が見られることから、それぞれの月内での探索は、同一の人物・組織によるものである可能性があると考えています。なお、3月と6月の送信元となる人物・組織が同一である確証は得られていません。
おわりに
今回、AI関連サービスを標的としていると見られるリクエストについてご紹介しました。
AI関連サービスは、業務利用や利用者へのサービス提供のため、外部公開される機会が増えています。
一方で、以下のような情報や機能が公開されていると、攻撃者に探索・悪用される可能性があります。
- MCP関連の設定やエンドポイント
- AIエージェント関連のメタ情報
- ローカルLLMツールの診断・応答用エンドポイント
- モデル管理用UIやモデルレジストリ
そのため、AI関連サービスを公開する際には、例えば以下のような点を確認し、意図しない露出がないかを継続的に点検することが重要です。
- 意図しないAPI公開がないか
- 非公開APIに外部からアクセスした際に、期待通り拒否されるか
- ログ監視やアラートが適切に設定されているか
-
/.well-known/など、メタデータや設定情報を配置するディレクトリに機密情報が含まれていないか
また、探索されるAIツール・サービスの種類及び探索頻度は増加すると推測しており、今回紹介していないツールやサービスでも、適切な設定となっているか点検が必要と考えています。
弊社では今後もQiitaを通じて、継続的にハニーポットを用いた観測・分析結果をご報告します。