Reverse engineering a $1B Legal AI tool exposed 100k+ confidential files

更新情報
この投稿は Hacker News で大きな注目を集めました―議論スレッドをご覧ください。

---

タイムライン & 説明責任の報告

• 初期連絡 – 2025年10月27日、脆弱性を発見した時点で直ちに Filevine のセキュリティチームへメールで連絡しました。
• 2025年11月4日 – Filevine のセキュリティチームが記事への感謝とともに、脆弱性の確認・迅速な修正を約束してくれました。
• 2025年11月20日 – パッチ適用を自分側で確認し、技術ブログ執筆予定について報告しました。
• 2025年11月21日 – Filevine が問題解決済みと確認し、責任ある報告に感謝してくれました。
• 公開日 – 2025年12月3日。

Filevine のチームは応答性が高くプロフェッショナルで、披露過程を通じて発見内容を真剣に受け止めてくれました。重大性を認識し、問題解決へ取り組み、責任ある報告を許可し、明確なコミュニケーションを維持してくれた点は、組織がセキュリティ披露を扱う際の優れた例です。

---

AI 法務テック企業は価値が急増中で、現在 10 億ドル超の評価を受ける Filevine はこの分野で最も成長率の高いプラットフォームの一つです。法律事務所は、このようなツールに膨大かつ極めて機密性の高い情報を投入します。

最近 Yale Law School との関連プロジェクトで作業していたため、Filevine がデータセキュリティをどのように扱っているかを詳しく調べることにしました。発見した内容は、AI システムを利用するすべての法務専門家にとって懸念材料となります。

---

サイトへ初めてアクセスして機能を確認すると、実際にツールを試したり公式デモをリクエストするには法律事務所に所属している必要があるように見えました。しかし企業は一般公開のデモ環境を持つことが多いので、昨年 Gal Nagli の記事で初めて知った「サブドメイン列挙」手法を使ってデモ環境が存在するか確認しました。すると、もっと興味深いものにたどり着きました。

margolis.filevine.com

というサブドメインを見つけ、そのサイトへアクセスすると解決しないロード画面が表示されました：

（ローディングスクリーン）

何が実際に読み込まれているのか確認したいと、Chrome のデベロッパーツールを開いたものの Fetch/XHR リクエストは出てきませんでした（ページがデータをロードしているときによく見るリクエストです）。そこで JavaScript ファイルを掘り下げ、何が起こるべきか推測しようとしました。

POST await fetch(${BOX_SERVICE}/recommend)

というスニペットを見つけました。これは「何をおすすめするのか？」、そして BOX_SERVICE は何なのか？興味深かったです。その変数はフェッチを呼び出す JS ファイルには定義されていませんでしたが（縮小コードを読むのは大変ですが）、別のファイルで

dxxxxxx9.execute-api.us-west-2.amazonaws.com/prod

と見つけました。これが新たなエンドポイントとなり、正しいペイロード構造を特定する必要がありました。さらに縮小 JS を調べてこのエンドポイントの正しい構造を把握し、/prod/recommend に対して機能するペイロードを作成しました：

{"projectName":"Very sensitive Project"}

（名前は何でもよいです）。認証トークンは不要で、次のようなレスポンスが返ってきました：

（JSON レスポンス）

初めは見た影響を完全には理解できませんでした。送ったプロジェクト名に関係なく同じ boxFolders が推奨され、ファイルにアクセスできないように思えました。しかし何か大きなものに気づいていなかった私は、レスポンスの

boxToken

に注目しました。

Box API のドキュメントを読むと、これはその法律事務所全体の Box ファイルシステム（内部共有 Google Drive のようなもの）への完全アクセス権を持つ管理者トークンであることが分かりました。機密ファイル、ログ、ユーザー情報などすべてにアクセスできるのです。この影響を証明するために「confidential」を検索し、約 10 万件の結果が返ってきました。テストを直ちに停止し、Filevine に責任ある報告を行いました。

Filevine は迅速かつプロフェッショナルに対応し、問題を修正しました。

---

もし誰かが悪意を持っていたなら、Margolis 弁護士が使用するすべてのファイル—HIPAA やその他法規制で保護されたデータ、内部メモ／給与情報、実際には数百万に上る最も機密性の高い文書—を抽出できたでしょう。裁判所命令で保護されている文書です！これは法律事務所とクライアント双方にとって真の悪夢になり得ます。

---

AI への業界的な圧力に押しつぶされそうな企業へ――注意してください！最も機密性の高い情報を渡す相手が、そのデータを確実に保護できることを必ず確認しましょう。