Botpressで不正侵入、顧客16社のボット構成情報が流出　含まれるAPIキーも閲覧対象に

対話型エージェントの価値は接続される外部サービスによって決まるが、あらゆる連携は構成情報の中にキーを残すことになる。ボットやエージェントの開発プラットフォームであるBotpressにおいて、侵入者が閲覧したのはまさにこの鍵束だった。11月6日に公開されたインシデント報告の中で、同社CTOのMichael Massonは、攻撃者が10月に顧客16社のワークスペースにおけるボットの構成情報を読み取ったと説明している。

社内プロキシから従業員アカウントへ

発端は、複数の社内ツールを保護する認証プロキシの脆弱性だった。10月12日以降、攻撃者はこのプロキシを探索し、従業員のものに見せかけたセッションを使って侵入を果たした。Botpressによると、IDプロバイダー側で従業員のアカウントが侵害された形跡はなかったという。10月13日から21日にかけて攻撃者はツール群や関連システムを調査し、顧客アカウント情報やスタッフのAPI認証情報に関わるデータを閲覧した。

10月21日の7時44分から8時23分（UTC）の間、攻撃者はメンバーとして複数顧客のワークスペースの管理者権限を持っていた従業員のAPI認証情報を悪用し、それらのボットの構成情報を読み取った。これらの設定には連携機能の設定、すなわちAIプロバイダーのAPIキー、メッセージングチャネルのトークン、CRMのアクセス権限などが含まれていた。さらに別の2社のワークスペースでは、連携機能の設定を変更した。脆弱性は同日16時25分（UTC）頃に修正され、11月3日まで観測された再侵入の試みは失敗に終わっている。

動機：AIリソースの転売

Botpressは、攻撃者の狙いは闇市場で転売するためのAI利用枠の獲得だったと説明している。不正侵入の前および最中、攻撃者はAIクレジットを消費するために、同プラットフォーム上でアカウントの大規模なネットワークを運用していた。同社は身代金の要求を受けておらず、顧客データが公開されたり販売されたりした事実は確認されていないとしている。

顧客に求められる対応

影響を受けたワークスペースの所有者にはすでに連絡があり、対象となるボットと連携機能のリストが提示されている。Botpress側では当時どのボットに有効なキーが含まれていたか特定できないため、顧客に対して保存されていたすべての認証情報が漏洩したとみなし、発行元のサービスでキーを変更するよう求めている。連絡を受けていない顧客については、同社によるとアクセスの兆候はないという。Botpressは現在、従業員が顧客ワークスペースの管理者権限を持つ運用の見直しを含め、社内権限の再点検を進めるとともに、ボットの認証情報が同様の方法で読み取られないようAPIの改修を行っている。