Signal
📡 Signal｜GitBook、AI エージェントを使った侵入で全顧客の API トークンを失効
GitBook が AI エージェントを使った攻撃で基盤の認証情報に不正アクセスがあったと公表。Git Sync の秘密鍵や API トークンが対象になりえ、全顧客の API トークンを無効にした。
ドキュメント作成サービスの GitBook は 11 月 3 日、自社の基盤の認証情報の一部に攻撃者が不正にアクセスしたと公表した。侵入は中央ヨーロッパ時間 11 月 2 日午後 7 時 (日本時間 3 日午前 3 時)。GitBook は攻撃を「AI エージェントを使った、高度で標的を絞った攻撃」と説明し、全顧客の API トークンを無効にしたうえで、利用者に連携先の鍵の入れ替えを求めている。
GitBook は、暗号資産のプロジェクトが仕様書や使い方、コントラクトのアドレスを載せる場として広く使われている。文書そのものの改ざんは見つかっていないとする一方、文書とコードの保管庫をつなぐ鍵が攻撃者の手の届く範囲にあった。利用者が「公式の説明」として読む面と、開発の現場をつなぐ線が、AI を使う攻撃の標的になった。
第一報は 速報 で伝えた。本稿は GitBook の公表文と障害情報のページから、何が起き、利用者に何が求められているかを整理する。
経過: 侵入から復旧まで約 21 時間
GitBook の公表文と障害情報のページを合わせると、経過は次のとおりだ (日本時間を併記)。
- 11 月 2 日 午後 7 時 (中央ヨーロッパ時間・日本時間 3 日午前 3 時): 攻撃者が基盤の認証情報の一部に不正にアクセス。GitBook は「すぐに検知した」とする
- 11 月 3 日 午後 1 時 15 分 (同・日本時間 3 日午後 9 時 15 分): 不正アクセスを検知して封じ込め、念のため一部のサービスを止めたと告知
- 11 月 3 日 午後 4 時 21 分 (同・日本時間 4 日午前 0 時 21 分): アプリ、API、公開中の文書サイトが再び使えるようになったと告知。一部の機能は不安定な状態が残りうる
停止の間、GitBook はアプリと、ログインが必要な文書サイトを止め、誰でも読める公開文書は保存済みのデータで表示を続けた。
何に手が届いた可能性があるか
公表文が挙げる、攻撃者がアクセスした可能性のあるものは四つだ。
- 外部サービスとの連携に使うトークン
- Git Sync の秘密鍵 (文書を GitHub などのコードの保管庫と同期させるための鍵)
- API トークン
- 文書サイトの訪問者が GitBook の AI アシスタントに入力した質問
GitBook は、攻撃者を遮断して悪用された弱点をふさぎ、基盤のすべての認証情報と秘密鍵を入れ替えたとする。顧客の API トークンはすべて無効にし、個人の API トークンも取り消した。「現時点で、GitBook 上の内容が書き換えられた証拠は見つかっていない」とし、全容の事後報告を出すとしている。
「AI エージェントを使った」攻撃の中身、つまりどの AI を使い、どこから入ったのかは、公表文に書かれていない。GitBook 自身の AI 機能が入口だったとも書いていない。
利用者がすること
公表文が利用者に求めているのは次の五つだ。
- 既存の GitBook の API トークンを入れ替える
- GitBook と他のツールをつなぐ第三者の API トークンや秘密鍵を入れ替える
- 公開している連携機能が秘密鍵を使っていれば、それも入れ替える
- GitBook の MCP サーバー (AI エージェントから GitBook を操作するための窓口) を使っていれば、認証をやり直す
- 分からないことは組織の管理者に問い合わせる
Decrypt の報道によると、分散型取引所の PancakeSwap は文書サイトを一時的に止め、自前の基盤へ移した。PancakeSwap は、文書は侵害されておらずアプリにも影響は無いとしている。
鍵の入れ替えが要るのは GitBook の利用者だけではない。Git Sync でつないだコードの保管庫の側でも、GitBook に渡していた権限と、その間の操作の記録を確かめる必要がある。文書の改ざんが見つかっていないことと、つないだ先が無事であることは別の話だ。
次に見るもの
確認先は二つある。GitBook が予告した事後報告で、入口がどこだったか、AI エージェントがどの段階で使われたか、顧客のデータに影響があったかが示されるかどうか。もう一つは GitBook の障害情報のページ (gitbookstatus.com) で、不安定な機能の復旧が「解決済み」に変わる時期だ。暗号資産のプロジェクトでは、文書サイトに載ったコントラクトのアドレスや外部リンクが平常どおりかを、各プロジェクトの公式 X で確かめるのが早い。
ことば
- API トークン — 外部のプログラムがサービスを操作するときに使う、合言葉にあたる文字列。持っている者は人がログインしなくても操作できるため、漏れたら発行し直して古いものを使えなくする必要がある。
- MCP サーバー — AI エージェントが外部のサービスを道具として使うための接続口。Anthropic が提案した規格 (Model Context Protocol) にもとづく。AI が文書を読み書きできる分、認証の管理が新しい守りどころになっている。
🔗 一次ソース
