尚ブログ
← AIニュース

Binance の約64億ドルの盗難、始まりは AI ツールを入れようと検索で見つけた偽のインストーラー

📌 今日のポイント

⚠️ 注意：Binance、盗難の始まりは「AI ツールを入れようと検索で見つけた偽のインストーラー」と公表

始まりは6月、エンジニアの1人が人気の AI ツールを入れようと検索し、改ざんされた Homebrew（Mac にソフトを入れる道具）のインストーラーを入れたことでした。暗号資産の取引所 Binance が11月3日、10月29日の盗難（推計で約64億ドル）の流れを公表しています。6月の件は気づいて鍵を替えましたが、チームの情報が漏れました。9月には別のエンジニアが偽の採用面接で渡された「課題」のコードを仕事の PC に入れ、悪いコードが動きました。攻撃者はそこから社内の AI ツールも悪用し、6月のエンジニアらの権限まで手に入れています。損失は、Binance が利用者を守る基金と自社の資金で補います。

尚

尚の目線

僕は Binance を使っていないので、直接の関係はありませんでした。
新しい AI ツールを入れる時は、ダウンロードの URL を AI に貼って「公式の配布元か」を確かめさせてから入れてください。
面接の課題として届いたファイルは、仕事や大事なデータのある PC で開かないのがおすすめです。

出典：The Hacker News（英語）／The Hacker News・10月29日（英語）

⚠️ 注意：セブン‐イレブンの「7NOW」と出前館、配達の委託先から注文者の名前や住所が取られる

7NOW では、注文者（届け先）の名前（カナ）が合計169,151件取られ、そのうち4,971件は住所も、209件は電話番号と郵便番号までありました。セブン‐イレブン・ジャパンと出前館が11月3日、配達を頼んでいる CBcloud の「ピックゴー」への不正アクセスが11月1日に分かったと公表しています。出前館は名前799件・住所794件・電話番号と郵便番号33件が対象です。カードの情報や ID・パスワードは含まれていません。7NOW の対象の人には、登録の電話番号にショートメッセージで順次連絡が届きます。

尚

尚の目線

7NOW か出前館を使っている人は、届いた連絡の URL を AI に貼って「公式のドメインか」を確かめさせてください。
配送会社を名乗る電話・メール・SMS で、支払いやカード番号の入力を求められたら応じないのが安全です。
本物のお知らせは、両社の公式サイトにも出ています。

出典：セブン‐イレブン・ジャパン／出前館

⚠️ 注意：Google、盗んだ鍵で AI を使う「LLMJacking」で、1日10万ドル超の請求が来た例を報告

乗っ取りの入口で多いのは、漏れたり盗まれたりしたクラウドの鍵やトークンで、GitHub のトークンも含まれます。Google の脅威情報チームと Mandiant が11月3日、会社の AI の利用権を乗っ取る「LLMJacking」の調査を公表しました。1つの事件で1日10万ドルを超える請求が出て、止めるまでに累計100万ドルに達した会社もあります。乗っ取った利用枠を、闇の中継サービスで転売する例も見つかっています。

尚

尚の目線

僕の GitHub の保管庫は全部非公開でしたが、トークンを盗まれれば中は読まれます。
API の鍵を使う人は、管理画面で月の使いすぎの上限と、知らせのメールを付けておきましょう。
鍵やパスワードが書かれた行を見つける道具（シークレットスキャン）の入れ方を、AI に聞くのもおすすめです。

出典：Google Cloud ブログ（英語）

🗞 動き：Anthropic、上場の申請書で「AI が AI 作りを大きく速める段階」に近いうちに届くかもしれないと書いた

Anthropic は11月2日に出した上場の申請書の修正版（S-1/A）で、社内の見積もりと今後のモデルの見込みから、自社の安全の方針が定める「AI による開発の大幅な加速」に近いうちに届くかもしれないと書きました。今のモデルは、まだこの線を超えたと判断していません。加速には後から気づくこともあると認めています。人の監督なしに Claude に次の世代のモデルを作らせて安全だとは見込んでおらず、人が主導権を持つよう方針の見直しを検討中です。7〜9月の売上は169億5600万ドルでした。

尚

尚の目線

僕は毎朝の仕事の多くを Claude に任せていますが、SNS への投稿は、僕が「OK」と言ってから AI が押す形にしています。
AI に任せている作業を1つ書き出して、「どこで人が確かめるか」を AI と一緒に決めておきましょう。
任せる量が増えるほど、この線が効いてきます。

出典：米証券取引委員会（英語）／TechCrunch（英語）／ITmedia NEWS

📎 短信

  • 🗞 ドメインの更新料が、1年で2,676円から18,139円になったという投稿が広まりました。お名前.com の「.cyou」です。→ ドメインを持つ人は次の更新料を確かめる
  • 🗞 パスワード管理アプリ「mSecure」が、パスワードの変更やパスキーの削除を勧めるメールを送りました。→ リンクは押さず、アプリか公式サイトで確かめる
  • 🗞 Apple は11月16日から、アプリの年齢の申告の項目を増やします。出会い系や恋愛を扱う AI の相手役は18歳以上の区分になります。

出典：はてな匿名ダイアリー／The Hacker News（英語）／Apple Developer（英語）