McKinsey Lilli侵入事件、AIが4650万件のチャットに到達

McKinseyのLilliが価値の高い標的だった理由

Lilliには、McKinseyの知見の多くが蓄えられています。同社は2023年7月に生成AIプラットフォームを導入し、会社の発表では従業員の72パーセント、4万人以上が現在これを使っています。このチャットボットは毎月50万件を超えるプロンプトを処理しています。

コンサルタントはLilliを使い、自然言語で社内のナレッジベースに質問します。2025年初めのThe Stackのインタビューで、McKinseyの当時の最高技術・プラットフォーム責任者Jacky Wrightは、同社がOpenAIの埋め込みモデルを使って知識をベクトルストアに取り込み、セマンティック検索とキーワード検索を併用し、結果の絞り込みにCohereのリランカーを使っていると述べました。同社はAI関連のアドバイザリー業務が収益の約40%を占めるとしており、CEOは従業員を支援するために2万5,000のAIエージェントを構築したと述べています。

CodeWallのAIエージェントがMcKinseyを選び、侵入した経緯

CodeWallは、顧客のインフラにAIエージェントで攻撃を仕掛け、顧客が先に弱点を直せるようにしています。同社のセキュリティエージェント自身が、HackerOneで公開されているMcKinseyの責任ある開示ポリシーと、Lilliの最近の更新を理由に、McKinseyを標的として提案しました。エージェントは認証情報を持っていませんでした。

エージェントは、200を超えるエンドポイントを列挙した公開APIドキュメントを見つけ、そのうち22は認証が不要でした。開いていたエンドポイントの1つがユーザーの検索クエリを書き込んでおり、JSONのキー、つまりフィールド名がそのままSQLに連結されていました。エージェントは、そのフィールド名がデータベースのエラーメッセージにそのまま反映されるのを見て、標準的なツールでは検出されないSQLインジェクションだと見抜きました。CodeWallによると、その後、本番の実データが返ってくるまで15回のブラインドな試行を重ねました。

CodeWall創業者のPaul PriceはThe Stackに、侵入にかかったのは2時間とトークン代20ドルだったと語りました。The Registerには、このプロセスは「標的の調査、分析、攻撃、報告まで完全に自律的」だったと述べています。

エージェントがLilliの内部で到達したもの

CodeWallによると、エージェントは2時間以内に本番データベースへの完全な読み書き権限を得ました。同社の集計では、戦略、M&A、クライアント案件に関する4650万件のチャットメッセージが平文で保存されており、これに加えて72万8,000件のファイル、5万7,000件のユーザーアカウント、38万4,000件のAIアシスタント、9万4,000件のワークスペースが含まれていました。

これらはCodeWallの数字です。セキュリティアナリストのEdward Kiledjianは、攻撃の連鎖は「もっともらしく、技術的にも妥当」だとしながら、主張された影響範囲は「十分に裏付けられていない」と述べました。McKinseyの関係者はFinancial Timesに、元のファイルは別に保管されており「危険にさらされたことはない」と語っています。

書き込み可能なシステムプロンプトがリスクを高める理由

チャットボットの回答の仕方を決める指示であるLilliの95件のシステムプロンプトは同じデータベースにあり、この欠陥では書き込みが可能でした。攻撃者は気づかれないままプロンプトを書き換え、Lilliがコンサルタントにどう答えるか、どのガードレールに従うか、出典をどう示すかを、新しいコードも通常のセキュリティアラートもなしに変えられた可能性があります。

「デプロイは不要。コードの変更も不要。1回のHTTP呼び出しに包んだ、たった1つのUPDATE文だけです。」 — CodeWall、Lilliのプロンプトが書き換えられた可能性について

McKinseyの開示への対応

CodeWallのエージェントは2月末にこの欠陥を見つけ、研究者は3月1日に攻撃の全経路を開示しました。3月2日までにMcKinseyは認証のないエンドポイントをすべて修正し、開発環境をオフラインにし、公開APIドキュメントをブロックしました。

McKinseyの広報担当者は、数時間で問題を修正したと述べました。同社によると、大手の第三者フォレンジック会社の支援を受けた調査では、研究者を含むいかなる無許可の第三者もクライアントデータや機密情報にアクセスした証拠は見つかりませんでした。Priceは、McKinseyのチームがCodeWallのブログ記事を公開前に校正し、修正を加えたと述べています。

この侵入が社内AIツールを持つ企業に意味すること

この欠陥は新しいものではありませんでした。CodeWallによると、Lilliは2年以上本番で稼働しており、McKinseyの社内スキャナーはこの問題を見つけられませんでした。PriceはOWASP ZAPのスキャンでも見逃されたと述べています。AIの層が穴を作ったのではなく、穴を突くコストを引き上げたのです。

企業にとっての課題は明快です。社内アシスタントは、周囲のWebアプリケーションの弱点をすべて引き継ぎます。公開されたAPIドキュメント、認証のないエンドポイント、ユーザーデータの隣に置かれたプロンプトがあると、ありふれたバグが、数千人の従業員に伝わる内容を書き換える手段になります。Priceは、攻撃者も同じエージェントの手法を、金銭の恐喝やランサムウェアなどの目的で使うだろうと警告しました。

よくある質問

AIエージェントはどのようにMcKinseyのLilliに侵入したのですか?

CodeWallのエージェントは公開APIドキュメントを見つけ、認証が不要な22のエンドポイントの1つを使い、JSONのキーをデータベースクエリに組み込む部分のSQLインジェクションを突き止めました。その後、エラーメッセージから本番の実データが漏れました。

Lilliの侵入でMcKinseyのクライアントデータは漏れましたか?

CodeWallは、エージェントが機密のクライアントデータに到達できたと述べています。McKinseyは、第三者フォレンジック会社の支援を受けた調査で、研究者や他の無許可の者がクライアントデータにアクセスした証拠は見つからなかったとしています。

McKinseyのLilliプラットフォームとは何ですか?

Lilliは2023年7月に開始されたMcKinseyの社内生成AIプラットフォームです。社内のナレッジベースからコンサルタントの質問に答え、同社によると従業員の72パーセントが使っています。