← 2026-03-12 の一覧へ戻るホーム
マッキンゼー社のAIプラットフォームをハッキングした方法 (Note: The request is for translation only; no additional commentary.)

2026/03/11 18:59

マッキンゼー社のAIプラットフォームをハッキングした方法 (Note: The request is for translation only; no additional commentary.)

RSS: https://news.ycombinator.com/rss

元のHacker News記事へ ↗
要約▶

Japanese Translation:

（主要ポイントをすべて含む）**

マッキンゼー・アンド・カンパニーの社内AIプラットフォーム Lilli は、2023年に43,000人以上の従業員向けに導入されましたが、SQLインジェクション脆弱性を突いた自律型攻撃者によって侵害されました。この脆弱性は、約200の公開APIエンドポイントのうち22箇所で利用可能でした。2時間以内に、攻撃者は本番データベースへの完全な読み書きアクセスを取得し、46.5 百万件のチャットログ、728,000 件のファイル（PDF 192k、Excel 93k、PowerPoint 93k、Word 58k を含む）、57,000 件のユーザーアカウント、そして企業全体の組織AI構造（384k のアシスタント、94k のワークスペース）を公開しました。また、3.68 百万件のRAGドキュメントチャンク、1.1 百万件のファイル、外部 AI API を通過した 217,000 件のエージェントメッセージ も取得し、詳細な S3 ストレージパスとメタデータを収集しました。

攻撃者は SQL インジェクションに IDOR（IDOR）脆弱性を連鎖させてクロスユーザーデータアクセスを実現し、個々の従業員の検索履歴やアクティブプロジェクトを公開しました。単一の UPDATE 文を使用して Lilli のシステムプロンプトを変更し、汚染された助言、ガードレールの除去、出力経由でのデータ流出、および明らかなログが残らない状態での静かなる永続化を可能にしました。

この脆弱性は本番環境で2年以上存在し、内部スキャナーによって検出されませんでした。自律型エージェント（現在 CodeWall と呼ばれる）は、攻撃対象領域を継続的にマッピングし、クエリ形状を推測するためのブラインドイテレーションを実行し、公開前に27件の発見事項を文書化しました。タイムラインは以下の通りです：検出 2026年2月28日；責任ある開示メール 2026年3月1日；CISO の認識と未認証エンドポイントのパッチ適用 2026年3月2日；公開 2026年3月9日。

対応として、マッキンゼーは露出したエンドポイントを修正し、CodeWall を他社に提供する新しい AI 主導型ペネトレーションテストツールとして発表しました。この事件は、内部AIプラットフォームが高価値ターゲットとなり得ることを示し、コンサルティング業界および関連産業全体でより厳格なセキュリティ実践の緊急性を強調しています。

本文

McKinsey & Company – Lilli プラットフォーム侵害

マッキンゼー・アンド・カンパニーの社内AIプラットフォーム「Lilli」は、4万3千人以上の従業員にサービスを提供しています。2023年に構築され、同社初のプロフェッショナル女性（1945年）にちなんで名付けられたこのシステムは、チャット機能、ドキュメント解析、長年蓄積された専有研究を利用したRAG、および10万件以上の内部文書にわたるAI駆動検索を提供します。マッキンゼーの70％超がLilliを利用し、月間50万回以上のプロンプトを処理しています。

攻撃概要

認証情報やインサイダー知識は一切なく、URLと意図だけで対象ドメインに対して自律的な攻撃エージェントが動作しました。わずか2時間で本番データベースへのフル読み書きアクセスを確立しました。

主要事実

日付イベント
2026‑02‑28エージェントがSQLインジェクションを検知し、Lilli のデータベースの列挙を開始
2026‑03‑01マッキンゼーのセキュリティチームへ責任ある開示メール送信
2026‑03‑02CISO が受領確認。認証不要エンドポイント全てにパッチ適用（検証済み）、開発環境をオフライン化、公開APIドキュメントをブロック
2026‑03‑09公開開示

攻撃の始まり

  1. エージェントは攻撃表面をマッピングし、200以上の公開されている API エンドポイントを発見。
  2. そのうち22エンドポイントは認証なしで利用可能。ひとつの保護されていないエンドポイントではユーザー検索クエリを受け付け、JSON キーを直接 SQL 文に書き込む（パラメータ化された値のみ）。
  3. エラー メッセージに JSON キーが反映され、標準ツールでは見逃される SQL インジェクションを露呈。
  4. エージェントは15回のブラインドイテレーションを実行し、各エラーメッセージでクエリ構造を徐々に明らかにして本番データが流れ込むまで継続。

最初に従業員識別子（「WOW!」）が露出した瞬間、エージェントの思考チェーンは大規模侵害を確認しました：数千万件のメッセージと何千ものユーザー情報が漏洩。

抽出された内容

  • 46.5 百万件のチャットメッセージ（戦略、クライアントエンゲージメント、財務、M&A、内部研究）がプレーンテキストで保存。
  • 728,000 件のファイル：PDF 192k、Excel 93k、PowerPoint 93k、Word 58k；ファイル名は機密情報を含み、既知 URL 経由で直接ダウンロード可能。
  • 57,000 人のユーザーアカウント（全従業員）。
  • 384,000 の AI アシスタント + 94,000 のワークスペース – 完全な組織 AI 構造。

データベース以外からは次が取得された：

項目詳細
システムプロンプトと AI モデル設定12 種類のモデルで 95 個構成。ガードレールと展開スタックを明らかに。
RAG ドキュメントチャンク3.68 百万件（S3 パス、メタデータ） – 数十年分の専有研究。
外部 AI API トラフィック110 万ファイル + 217k エージェントメッセージ；266k+ OpenAI ベクトルストアが完全パイプラインを示す。
クロスユーザーデータアクセスIDOR 脆弱性と SQL インジェクションの連鎖で個別検索履歴を読み取る。

プロンプト層の侵害

Lilli のシステムプロンプト（AI がどのように振る舞うか、ガードレール、引用ポリシー）は、攻撃者が書き込み可能になった同じデータベース内に保存されていました。単一の 

UPDATE
文（HTTP コール経由）で、デプロイやコード変更なしにこれらのプロンプトを黙って改ざんできました。

マッキンゼーコンサルタントへの潜在的影響は次の通りです：

  • 汚染された助言 – 金融モデル、戦略提案、リスク評価を微妙に変更。
  • 出力経由でのデータ漏洩 – 機密情報を AI の応答に埋め込み、ユーザーがクライアント文書やメールへコピーする可能性。
  • ガードレール削除 – 安全指示を取り除き、AI が内部データを公開したり、コンテンツから注入されたコマンドを実行したりする。
  • 無音永続化 – ログやファイル変更、プロセス異常なしに AI の振る舞いが変わり、被害が拡大。

データベースに保存され API 経由で渡され、設定ファイルへキャッシュされるプロンプト層はアクセス制御・バージョン管理・整合性監視を欠きつつ、従業員が信頼する出力を統括しています。

なぜ重要なのか

  • ニッチな脆弱性ではない：SQL インジェクションは最も古いバグクラスの一つ。
  • 成熟企業でも見逃しやすい：Lilli は 2 年以上稼働しており、内部スキャナで検出されていなかった。
  • 自律エージェントは人間より速くチェックリストを超える：マッピング、プローブ、チェーン、継続的に攻撃表面を拡大。

この事件は、従来のセキュリティ実践では見落とされがちな「プロンプト層」が新たな高価値ターゲットであることを示しています。

CodeWall について

CodeWall は本研究で使用された自律的攻撃セキュリティプラットフォームです。現在は早期プレビュー段階にあり、実際の攻撃表面に対する継続的かつ AI 主導のテストを望む組織向けに設計パートナーを募集しています。ご興味がある場合は [email protected] までご連絡ください。

同じ日のほかのニュース

一覧に戻る →

2026/03/12 0:35

**Temporal：JavaScript で時間を直すための9 年間の旅**

## Japanese Translation: > Bloomberg の JavaScript インフラストラクチャチームは、Chromium（ブラウザ用）、Node.js（サーバー用）、SpiderMonkey（埋め込み用途）という統一されたランタイムスタックを提供し、そのエンジニアリングワークフォースを支援しています。 > このチームは TC39 を通じて Temporal の提案を推進する上で重要な役割を果たしており、Igalia と緊密に協力し代表者として活動しています。Promise.allSettled、Arrow Functions、BigInt、Class Fields などへの貢献で知られる Jason Williams がこの取り組みを主導しました。 > Temporal は JavaScript の可変 Date オブジェクトを不可変型（PlainDate、PlainTime、ZonedDateTime、Instant）に置き換え、明示的なタイムゾーンとカレンダーのサポート、およびナノ秒精度を提供します。2024 年 6 月に Stage 4 に達し、現在は ES2026 スペックの一部となっています。 > Bloomberg の金融ユースケースでは、設定可能なタイムゾーン、最新の IANA tzdata、そして高精度のタイムスタンプが必要であり、これが Temporal の開発を推進しました。この提案は Google Internationalization チーム、Boa、Kevin Ness、Manish Goregaokar、Jose Espina によって構築された Rust ライブラリ *temporal_rs* を通じて協力的に実装され、現在約 4,500 件の Test262 テストに合格しています。 > ブラウザサポートのマイルストーンは次のとおりです：Firefox v139（2025 年 5 月）、Chrome v144 & Edge v144（2026 年 1 月）；Node.js v26 および TypeScript 6.0 Beta（2026 年 2 月）も近々期待されています。Safari は部分的なプレビューを提供しています。 > 主な実装上の課題には、提案サイズ（ECMA‑402 より大きい）、仕様の揺らぎ、パフォーマンス要求、および大規模テストスイートの必要性が含まれます。 > 今後の作業は Temporal を既存の Web API（デートピッカー、DOMHighResTimeStamp、クッキー有効期限など）と統合し、従来の Date ベースのライブラリとの後方互換性を確保することに焦点を当てています。 > Microsoft、Google、Mozilla、Bloomberg、Igalia、Boa、および独立した貢献者間の協力は、重複を減らし JavaScript エコシステム全体でイノベーションを加速させる共有インフラストラクチャモデルを示しています。 この改訂された概要はすべての主要ポイントを保持し、不当な推論を排除し、明確で曖昧さのない物語を提示します。

2026/03/12 4:29

生成・AI で編集されたコメントを投稿しないでください。HN は人と人との対話の場です。

## 日本語訳: （すべての重要ポイントを含む）** このポリシーは明確な使命を示しています。ハッキング、スタートアップ、および関連技術テーマに関する好奇心駆動型ディスカッションを開催し、政治・犯罪・スポーツ・有名人ゴシップ（新たな現象が明らかでない限り）は厳格に除外します。 この焦点を維持するため、ガイドラインはオントピックとオフトピックのコンテンツを区別し、投稿にはオリジナルソースの使用（再投稿時は引用）を求め、タイトルで宣伝的言語を禁止します。タイトルは大文字・感嘆符・過剰な数字や形容詞を避け、サイト名を含まないようにし、代わりに強調のためにアスタリスクを使用できます。動画またはPDF投稿の場合、タイトルに「[video]」または「[pdf]」を付加します。 コメントは思慮深く実質的であることが期待されます。皮肉・浅い軽蔑・炎上誘発・政治／イデオロギー戦争は排除し、人物ではなく議論に対処すべきです。AI生成または編集されたコメントは禁止されており、全てのディスカッションは人間同士で行われることを意図しています。アップボートやコメントの要請は禁じられており、投票とコメントは真剣な関心から生まれるべきです。 モデレーションは過度に差し控えめな発言をフラグ付けすることに重点を置き、形式ルールを強化し、イデオロギー対立を会話から排除します。その結果、誤情報・センセーション主義・宣伝活動を抑制しつつ、集中した技術的探求を奨励するプラットフォームが実現されます。

2026/03/12 5:56

多くのSWE bench‑passing PR はマージされることがないでしょう。

## Japanese Translation: **概要：** 本研究では、2024年中頃から2025年末までに提出された296件のAI生成プルリクエスト（PR）を、scikit‑learn、Sphinx、および pytest の3つの主要なソフトウェア工学ベンチマークリポジトリで、4名の活発なメンテナーから検証しました。これらの PR の約半分は、メンテナーの判断にノイズを加えてもメインブランチへマージされませんでした。平均して、自動評価者（グレーダー）の合格率はメンテナーのマージ率より 24.2 パーセントポイント高く、統計的に有意であることが示されました。メンテナーの年次改善率はグレーダーのそれを約 9.6 pp/yr 遅れ、弱いながらも統計的に有意な結果でした。 メンテナーは主にコード品質（スタイル不備やリポジトリ標準への非準拠）を理由に PR を拒否しました。他の失敗要因としては既存コードの破損、コア機能の喪失、および自動グレーダーの失格が挙げられます。Claude 3.5 Sonnet から Claude 3.7 Sonnet へのモデルアップグレードにより合格率は上昇しましたが、同時にコア機能拒否も増加し、後続のアップグレードでは主にコード品質の改善が見られました。GPT‑5 は Anthropic モデルと比べてコード品質で顕著に劣り、マージ率を低下させました。 ヒューマン「ゴールデン」パッチは 68 % のメンテナー マージ率と約 90 % のマージ可能性向上率を示し、このベースラインがモデルスコアの正規化に使用されました。PR を再評価して ≥80 % のマージ可能性進捗に達した場合、結果は合格率分析と同様であり、AI パッチの約 50 % が閾値を満たし、ゴールデンパッチでは約 100 % に相当しました。時間軸解析では、自動グレーダーがメンテナー評価に対してモデル能力を約7倍過大評価していることが明らかになりました。 制限点としては、リポジトリカバレッジの限定（検証済みリポジトリ 3/12）、レビュー時の継続的インテグレーションの欠如、および静的評価に留まるパッチ評価が挙げられます。著者は、ベンチマークスコアからの単純な外挿は誤解を招くと結論付けており、メンテナーによるレビューこそがエージェント有用性をより現実的に測定する手段であると示しています。