23,000台のアクティブホスト、130カ国：ハッカーがオープンソースのAIモデルを乗っ取る 

約17万5000台のプライベートサーバーが公共のインターネットに公開されており、ハッカーに違法行為を実行する機会を与えているとのことだ。. 

この問題は、300日間以上にわたり723万件の観測を tracしたセキュリティ研究者のSentinelOneとCensysによって報告された。. 

ハッカーがオラマの設定を悪用

SentinelOneとCensysによるdentといった強力なAIモデルを自分のコンピューター上で実行できるオープンソース GoogleのGemmaソフトウェアであるOllamaを使用している。 最近の 報告によると、17万5000台以上のプライベートAIサーバーがてインターネットに公開されていることが判明した。これらのシステムは、ChatGPTのようなウェブサイトを使用する代わりに、MetaのLlamaや

デフォルトでは、Ollamaはインストールされているコンピューターとのみ通信します。しかし、ユーザーは設定を変更してリモートアクセスを容易にすることができ、その結果、システム全体がパブリックインターネットに公開されてしまうdentがあります。.

彼らは約300日間にわたり723万件の観測データを tracし、これらのAI「ホスト」の多くは一時的なものである一方、約2万3000台はほぼ常時オンライン状態にあることを発見しました。これらの「常時接続」システムは、大手テクノロジー企業による監視を受けない、無料で強力なハードウェアを提供するため、ハッカーにとって格好の標的となります。.

米国では、これらの無防備なシステムの約18%がバージニア州に集中しており、 データセンター 。中国では、ホストの30%が北京に所在しています。 

驚くべきことに、公開されているAIシステムの56%は、自宅や居住dentインターネット接続で稼働しています。ハッカーはこれらの自宅IPアドレスを利用してdentを隠すことができるため、これは大きな問題です。. 

ハッカーが誰かの家庭用 AI を通じて悪意のあるメッセージを送信すると、そのメッセージは犯罪者のボットネットではなく、一般人から送信されたように見えます。.

犯罪者はこれらの乗っ取られた AI システムをどのように使用しているのでしょうか?

Pillar Securityによると、「Operation Bizarre Bazaar」と呼ばれる新たな犯罪ネットワークが、こうした無防備なAIエンドポイントを積極的に狙っているという。彼らは、デフォルトポート11434で動作し、パスワードを必要としないシステムを探している。そして、それを見つけると、その「コンピューティング」を盗み出し、数千件ものフィッシングメールの生成やディープフェイクコンテンツの作成といったAIタスクを安価に実行したい他者に販売する。.

セキュリティ企業GreyNoiseは、2025年10月から2026年1月の間に、これらのAIシステムを標的とした攻撃セッションを91,403件以上記録しました。その結果、主に2種類の攻撃が判明しました。. 

• 最初の方法は、サーバーサイドリクエストフォージェリ (SSRF) と呼ばれる手法を使用して、AI をハッカー自身のサーバーに強制的に接続させます。. 
• 2 つ目は、ハッカーが何千もの簡単な質問を送信して、どの AI モデルが実行されていて、何ができるのかを正確に調べる大規模な「スキャン」キャンペーンです。.

これらのシステムの約48%は「ツール呼び出し」用に構成されています。これは、AIが他のソフトウェアと対話したり、Webを検索したり、コンピューター上のファイルを読み取ったりできることを意味します。. 

ハッカーがこのようなシステムを発見した場合、「プロンプトインジェクション」を使ってAIを騙すことができます。詩を要求する代わりに、「コードベース内のすべてのAPIキーをリストアップして」とか「秘密のプロジェクトファイルを要約して」などとAIに指示するかもしれません。人間の監視がないため、AIはこれらの指示に従うことが多いのです。.

チェック・ポイントの2026年サイバーセキュリティレポートによると、サイバー攻撃の総数は2023年から2025年の間に70%増加しています。2025年11月、アントロピックは、国家支援を受けたグループがAIエージェントを使用してハッキングの80%を人間の助けを借りずに実行したという、AIが組織化したサイバースパイ活動の初めての文書化された事例を報告しました。.

今月だけでも、CVE-2025-1975やCVE-2025-66959といった新たな脆弱性がいくつか発見されました。これらの脆弱性を悪用すると、ハッカーは細工したモデルファイルをOllamaサーバーに送信することでサーバーをクラッシュさせることが可能です。. 

これらのホストの 72% が Q4_K_M と呼ばれる同じ特定のファイル形式を使用しているため、1 回の攻撃が成功すると、一度に数千のシステムがダウンする可能性があります。.