世界は立ち止まらない。RSS
BIG CHANGE.

Markdown版

AI-translated from English; not yet reviewed by a fluent editor.

# PoeLLMマルウェア、公開状態のAIサービスや他のツールにも侵入

> Lumenによると、PoeLLMの調査で4月以降に影響を受けたサーバーが3,400台以上見つかった。証拠は、AI関連を含む各種ツールのうち、脆弱なまま公開されていたサービスを示しており、運用者が確認すべき具体的な項目も示している。

By BIG CHANGE Editorial

Published: 2026-10-11T08:55:09.294Z
Updated: 2026-10-11T08:55:09.294Z
Canonical: https://bigchange.ai/blog/poellm-malware-exposed-ai-services

![Charcoal illustration of a network cable entering a gateway on a steel shelf, with a second cable leading to a generic rack-mounted computer.](https://bigchange.ai/api/media/file/poellm-network-boundary-hero-v1.png)
A generic gateway and service host illustrate a network boundary operators can inspect. This is not a PoeLLM victim, observed deployment, field test or verified security outcome. AI-generated conceptual illustration by BIG CHANGE.

Lumen Black Lotus Labsによると、同社がPoeLLMと呼ぶマルウェアは2026年4月以降、3,400台以上のサーバーに影響し、侵害されたマシンを暗号資産マイナーに変え、一部では追加の標的を探すスキャナーとしても使った。研究者はこの活動をCanto Incognitoと名付けた。インターネットに公開されたAIサービスだけでなく、PDF変換ツールや開発プラットフォームにも及んだ。この組み合わせが運用者に示す教訓は、AIという名称より、公開されたサービスとその設定の方が重要だということだ。

Lumenは10月7日に[PoeLLMの調査](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware)を公開した。[The Hacker News](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html)と[The Register](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672)の同時期の報道によると、研究者はキャンペーンのGitHubリポジトリで最初のコミットが行われた日を4月13日とし、より広範なスキャンと悪用は5月に続いたとしている。合計数はLumenの調査で特定されたサーバー数であり、挙げられた製品の全導入環境を調べた数ではない。同社は、観測された被害者の大半が脆弱で一般公開されたサービスを実行していたようで、米国と西ヨーロッパに集中していたと述べている。

## 住所録として使われた詩

PoeLLMはGitHubリポジトリの詩から特定の単語を読み取り、マルウェアに組み込まれた辞書を使って現在のコマンド＆コントロール先のアドレスを導き出す。単語を書き換えれば、各ホストのマルウェアを変更せずに、感染システムを新しいサーバーへ向けられる。Lumenは最初のコミット後、詩に11回変更が加えられたと数えた。この詩は運用者のインフラを探す手段であり、AIモデルをだまして指示に従わせたわけではない。攻撃者がイタリア語を話すというLumenの評価は、イタリア語の痕跡とネットワーク通信に基づく。これは帰属に関する判断であり、特定の人物や確認済みの所在地を示すものではない。

研究者は、マルウェアにXMRigとIronのマイナーが含まれ、Kryptexのマイニング基盤との通信もあったと報告している。また、感染ホストが他の公開システムをスキャンし、攻撃する様子も確認した。Lumenによると、ネットワークテレメトリーから、追加の1,000超のIPアドレスが初期のコマンドサーバーに結び付いた。6月中旬のピーク時には、影響を受けたサーバーは約2,200台、1日のうちに活動していたものは約800台と説明した。10月の3,400台超という数字は累計であり、これらの数値は異なる時点で異なるものを測っている。その後Lumenは、特定したコマンドサーバーとの送受信トラフィックを遮断した。The Hacker Newsは後に詩のリポジトリが利用できなくなったと報じたが、それだけでは、感染ホストがすべて駆除されたことや攻撃者が活動を停止したことの証明にはならない。

## AIの見出しの背後にある公開問題

Lumenは、被害者のIPアドレスで観測したAI関連サービスとしてLiteLLMとOllamaを挙げ、GotenbergとGiteaにも言及している。報告書は調査中にIvanti Sentryデバイスが侵害された事例も記述しているが、その製品がより広く標的になったかどうかは可能性として扱っている。製品別の被害者数、完全なバージョン一覧、公開状態のOllamaやLiteLLMの全インスタンスが脆弱だったという証拠は示していない。IPアドレス上のサービスバナーはシステムの特定に役立つ場合があるが、各ホストの正確な侵入口を単独で証明するものではない。

LiteLLMのある経路については、バージョンの詳細がより明確だ。Lumenは、[CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g)に関連するテスト用エンドポイントを参照するマルウェアのサンプルを見つけた。公開された勧告は、LiteLLM 1.74.2から1.83.7未満までを影響対象とし、1.83.7で修正されたとしている。テスト用エンドポイントには有効なプロキシAPIキーが必要だったものの、必要なロール確認が欠けていたという。この条件は重要だ。勧告が説明するのは認証後のコマンド実行であり、Lumenが説明するのはサンプルで一つのエンドポイントが使われた可能性だ。いずれの文書も、この脆弱性がすべてのPoeLLM感染を説明すると証明してはいない。

Gotenbergは別の具体的な公開問題を示している。その[インストールガイド](https://gotenberg.dev/docs/getting-started/installation)は、PDF変換サービスをファイアウォールの内側に置くよう勧めている。また、公開されたDockerポートは外部から到達できる可能性があると警告し、サービスをlocalhostにバインドする方法を示している。その[設定リファレンス](https://gotenberg.dev/docs/configuration)には、任意で使える基本認証とOIDCが記載されているが、列挙された設定ではどちらも初期状態で無効だ。運用者は、設定を頼りにする前に、実際に使っているバージョンと導入形態を確認すべきだ。

### The big change

報告されたPoeLLMの規模は、補助ツールがインターネットに公開されているかを、AIチームが直ちに棚卸しすべき問題にしている。攻撃者が到達可能な脆弱サービスを探し、感染ホストを再利用して次の標的を探したため、活動は複数の製品分野に広がった。詩によってコマンドサーバーの変更は容易になったが、文書で説明されている運用者の対応は一般的なものだ。公開サービスを見つけ、バージョンとアクセス制御を確認し、侵害の兆候を調べる。Lumenのテレメトリーは活動の説明を裏付けるが、データ窃取が確認されたことや、挙げられた製品の全導入環境が侵害されたことを示すものではない。

## 運用者向けの範囲を絞った確認

1. 一時的な導入も含め、インターネットから到達可能なLiteLLM、Ollama、Gotenberg、Giteaのインスタンスを棚卸しする。実際の待ち受けアドレス、ファイアウォールとゲートウェイのルール、公開インターネットからのアクセスが必要かを確認する。
2. LiteLLMでは、インストール済みバージョンと有効なエンドポイントを[CVE-2026-42271の勧告](https://github.com/advisories/GHSA-v4p8-mg3p-g94g)と照合する。影響対象の導入環境を更新し、有効なプロキシキーを誰が持っているか確認する。すぐに更新できない場合に、影響対象のテスト用エンドポイントをゲートウェイで遮断する方法も勧告に記載されている。
3. Gotenbergは[インストール手順](https://gotenberg.dev/docs/getting-started/installation)が推奨するように、信頼できるネットワーク内に置く。アクセス制御が必要な導入環境では、設定文書にある該当の認証オプションを確認する。
4. ネットワークとホストのログを[Lumenが公開した指標](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware)と照合し、予期しないマイニング活動、外向きのコマンド通信、スキャンを調査する。指標と一致した場合はインシデント調査が必要だ。一致しないからといってホストが安全だとは限らない。

### 出典と参考資料

- [Lumen Black Lotus Labs：Canto Incognito](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware)は、主要なマルウェア分析、テレメトリーの情報源、指標一覧を提供する。上記の数値、観測された挙動、攻撃者に関する評価はLumenの研究者によるものとして記載している。
- [The Hacker Newsの記事と更新](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html)は、10月7日の公開を確認し、Lumenのエンジニアのコメントを通じて、その後リポジトリが利用できなくなったと報じている。リポジトリの削除は特定時点の観測だ。
- [10月7日のThe Registerの記事](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672)は同時期の公開日と研究者へのインタビューを示している。詩を「adversarial poetry」と表現したことを、この攻撃でLLMの脱獄があった証拠と解釈すべきではない。
- [LiteLLMのCVE-2026-42271勧告](https://github.com/advisories/GHSA-v4p8-mg3p-g94g)には影響対象と修正済みのバージョン、認証条件、ベンダーの回避策が記載されている。[Gotenbergのインストール](https://gotenberg.dev/docs/getting-started/installation)および[設定](https://gotenberg.dev/docs/configuration)ページには、公開に関する警告とアクセス設定が記載されている。

## Sources

- [Lumen Black Lotus Labs：Canto Incognito：PoeLLMマルウェアの追跡](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware) — キャンペーンの主要調査、テレメトリー、指標。数値、攻撃者に関する評価、検出結果はLumenによるものとしている。
- [The Hacker News：PoeLLMマルウェアが3,400台超のサーバーに感染](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html) — 同時期の記事とGitHubリポジトリの公開状況に関する後日の更新。数値はLumenに依拠している。
- [The Register：詩がAIセキュリティの新たな脅威に](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672) — 同時期の報道時期とLumenへのインタビュー。「adversarial poetry」という捉え方をプロンプトインジェクションの発見として採用していない。
- [LiteLLM勧告 GHSA-v4p8-mg3p-g94g / CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g) — 影響範囲、認証条件、緩和策。
- [Gotenbergのインストール](https://gotenberg.dev/docs/getting-started/installation) — 公開状態にしないよう求める公式の警告とlocalhostへのバインド方法。
- [Gotenbergの設定](https://gotenberg.dev/docs/configuration) — 公式の認証オプションの初期値。観測された被害者の設定については主張していない。