漏えいしたComposioキーがGmail・GitHub・CircleCIのライブトークンを露出

AIの広範な採用に伴い、接続されるツールやサービスの数は急速に増加しており、AI統合レイヤーは新たな、そしてますます複雑な攻撃面となっています。Cyeraの研究者は、数百の組織にわたってこのレイヤーを調査し、Composio、Arcade、Nango、Tavily、Exa、LlamaIndex、FirecrawlなどのプラットフォームのAPIキーを含む、数千もの露出した認証情報を発見しました。これらの認証情報の所有者は、北米、欧州、アフリカ、アジア太平洋にわたり、スタートアップ創業者、CTO、AI企業の経営幹部、エンタープライズソフトウェアベンダーなど多岐にわたります。さらに、侵害されたAIシステムを構築した担当者自身の認証情報が含まれるケースもありました。例えば、北米のテクノロジー企業のエンジニアリング担当VPが、ComposioのAPIキーを公開リポジトリにコミットしていました。Composioは、LLMや自律エージェントを数百のサードパーティアプリケーションやAPI、エンタープライズツールに接続するための統合インターフェースを提供するAIエージェント統合プラットフォームです。攻撃者がこのキーを取得すると、組織のAIエージェントエコシステムのほぼ全体を可視化でき、場合によっては下流のツールを実行できる可能性があります。

AI統合レイヤーは、モデルとそのモデルが到達する必要のあるシステムの間に位置します。「Salesforceの顧客のうち先週サポートチケットを開いた全員を特定し、問題を要約して、Slackでアカウントマネージャーに通知する」といったタスクをエージェントが実行するには、Salesforceへの認証、OAuthトークンの管理、期限切れ認証情報の更新、Slackへの接続、両方のアプリケーションにわたるアクションの実行が必要です。統合レイヤーはこの作業を処理します。このレイヤーを構成するプラットフォームには、4つのカテゴリがあります。統合インフラストラクチャ（Nangoなど）、統合エンタープライズデータレイヤー（Mergeなど）、AIネイティブな検索・レトリーバル（Composio、Arcade、Nangoなど）、エージェントセキュリティとガバナンス（Arcadeなど）です。

Cyeraの調査では、MCPサーバーが最も多いカテゴリであり、数百のテナントと数千のデプロイメント（Microsoft 365 MCP、Atlassian、Notion統合を含む）が確認されました。MCPサーバーの存在が判明しても、実際のリスクについてはほとんど情報が得られません。単一のMCPサーバーが、ソースコード、内部ドキュメント、クラウド環境、顧客データ、または独自のビジネスシステムを露出させる可能性があります。Cyeraはまた、ArcadeやComposioのようなプラットフォームを実行している組織を数十件発見し、そのうち17件は未承認のデプロイメントでした。これらのプラットフォームはAIエージェントの認証ブローカーとして機能し、外部サービスやAPIへのアクセスを管理します。セキュリティ上の決定を一元化するように設計されていますが、しばしばエージェントスタック内で最も特権のある単一ポイントになります。Tavily、Exa、FirecrawlなどのAI検索・レトリーバルプラットフォームも複数の環境に存在しましたが、組織はそれらを追跡していません。Merge、Nango、Apideckなどの統合プラットフォームは、それぞれ数十の統合を登録しており、1つのNangoデプロイメントがCRM、HRシステム、財務アプリケーション、チケットツール、ソースコードリポジトリに接続されていることが確認されました。

Cyeraの研究者は、機密性の高いAIインフラストラクチャの認証情報を含む数百の公開ファイルを発見しました。露出した秘密情報には、Composio、Nango、Tavily、Exa、Arcade、LlamaIndexなどのAI統合プラットフォームのAPIキーが数十件含まれていました。影響を受けた組織と個人は、AIアプリケーション開発者、OpenClaw関連プロジェクト、学術機関、スタートアップ創業者、エンジニアリングリーダー、AI企業の経営幹部、エンタープライズソフトウェアベンダー、金融サービス企業など多様でした。漏えいした認証情報が実際に何を解放するのかは、一般に2つのカテゴリに分類できます。最初のカテゴリ（最も重要）は、エージェント認証・ガバナンスと統合API・統合プラットフォームです。これらは、キーを制御する者が環境をインベントリ化し、接続されたツールや統合を列挙し、アクションを実行し、場合によっては接続されたサービス全体でコマンドを呼び出すためのプロキシとして機能できるため、特に敏感です。2番目のカテゴリであるAI検索・レトリーバルは、ほとんどのキーが外部インターネット検索のみを有効にするため、重要度は低いものの、攻撃者によるリソース消費は可能です。MCPサーバーは未知数であり、組織は多くの場合、これらのAIスタックコンポーネントを「MCPサーバー」という一般的なラベルでインベントリ化するため、真の機能と侵害範囲の評価が困難です。

Arcadeのドキュメントによると、Arcade APIキーはArcadeが到達できるすべてのものを解放します。Arcadeは、AIエージェントと生産性スイート、コミュニケーションプラットフォーム、チケットシステム、CRM環境、クラウドサービス、開発プラットフォームなどの外部サービスとの間の認証を仲介します。侵害されたキーを持つ攻撃者は、エージェントが利用できる同じアクションサーフェス（データ読み取り、レコード変更、リソース作成、通信送信、ワークフロー起動）を継承します。Nangoの資格情報が侵害されると、組織の統合ファブリック全体が露出します。Nangoは、数百のSaaS統合にわたってOAuthフロー、トークン更新、API接続を管理します。1つのデプロイメントがCRMプラットフォーム、チケットシステム、コラボレーションツール、ソースコードリポジトリ、HRシステム、財務プラットフォームを単一のインターフェースで接続します。Composioは1,043の統合と23,000以上のアクションを提供し、Gmail、GitHub、Slack、Notion、CircleCI、データベースなどをカバーします。Cyeraのテストでは、Composioキーをデフォルトの「アクセスなし」から完全アクセス権を持つテストキーとして構成し、Gmailアカウントを子アカウントとして定義しました。単一の読み取り専用リクエストで、Gmailのアクセストークンとリフレッシュトークン、GitHubのベアラートークン、CircleCIのトークンが返されました。キーがリポジトリにコミットされ、コンテナイメージに埋め込まれ、CIログに出力される、またはSSRFを介して取得されるというシナリオは、これまでにも何千回と見られてきました。Cyeraは自社のラボでこれらのシナリオを検証しました。