AIエージェントがわずか2時間でマッキンゼーのLilliをハッキング。プロンプトは書き換え可能だった。

2026年2月28日、セキュリティスタートアップCodeWallが運用する自律型オフェンシブセキュリティエージェントが、McKinsey & Companyの社内AIプラットフォームLilliの公開APIサーフェスに未認証のSQLインジェクションを発見し、約2時間以内に、その背後にある本番データベースへの読み取りおよび書き込みアクセスを保有していた。CodeWallは2026年3月9日に攻撃チェーンを公開した。その説明によると、このデータベースには、平文の4,650万件のチャットメッセージ、57,000件のユーザーアカウント、728,000件のファイル名、およびLilliの回答方法を規定するシステムプロンプトが含まれていた。これらは通常の行として保存されていたため、同じインジェクションを通じて書き込み可能だった。McKinsey & Companyは脆弱性を確認し、数時間以内に修正したと述べている。第三者によるフォレンジック調査では、顧客データや顧客の機密情報がアクセスされた証拠は見つからなかったとしている。アーカイブはこの記録をクリティカル、信頼度A、実害記録あり、ランドマーク的地位と格付けしている。完全な記録は、その重大度と信頼度の格付け、およびエージェント駆動型侵入に関する隣接する項目とともに、Orca AI Incident Archiveに収められている。

この話の中で最も広く伝わったのは、SQLインジェクションの部分ではない。SQLインジェクションは、ほとんどのベンダーのアドバイザリより長いWikipediaページがあるほど古い種類のバグであり、McKinseyは小さな標的ではない。広まったのは、CodeWallの発見の後半部分だ。すなわち、アシスタントを制御する指示——何に答えるか、何を拒否するか、どの情報源を引用するかを決めるプロンプト——が、エージェントが書き込めるのと同じデータベース内にあり、原理的には1回のHTTP呼び出しで1つのステートメントによって変更できた、という点である。

エージェントがどのようにして入ったのか

CodeWallの記事は、奇抜な要素が一切ない一連の流れを説明している。エージェントはまず攻撃対象領域を把握し、LilliのAPIドキュメントが公開状態で露出していることを発見した。200以上のエンドポイントが完全に文書化されていた。ほとんどは認証を必要とした。22件は必要としていなかった。

それら22件の受理されたユーザー検索クエリのうち1件を受け付け、データベースに書き込みました。CodeWallによると、そのクエリの値は安全にパラメーター化されていました — 通常の防御は機能しました — しかし、JSONのキー、つまりリクエスト本文のフィールド名は、SQL文字列に直接連結されていました。エージェントが不正な形式のキーを送信し、それらがデータベースのエラーメッセージにそのまま反映されるのを確認したとき、標準的なスキャナーでは検出できないインジェクションを認識しました。CodeWallは、一般的なオープンソーススキャナーであるOWASP ZAPがこの問題を検出しなかったと述べています。

そこからエージェントは、CodeWallが「15回のブラインド反復」と呼ぶものを実行した。各エラーメッセージが基盤となるクエリの形について少しずつ明かしていき、やがて本番環境の実データが返り始めるまで続いた。その投稿はエージェント自身の推論トレースを引用しており、最初の実在する従業員識別子が現れたときには「WOW!」、規模が明らかになるにつれて「これは壊滅的だ」と記している。CodeWallによると、エージェントはその後、インジェクションをIDOR脆弱性と連鎖させて個々の従業員の検索履歴を読み取った。これはPromptfooが2026年3月10日の分析でBOLA、すなわちbroken object-level authorisationと呼ぶ種類のバグである。

ターゲットの選定はそれ自体が別個の詳細だ。CodeWallによると、エージェントはMcKinsey自身を提案し、同社の公開された責任ある開示ポリシーとLilliへの最近の更新を根拠として挙げた。また、その実行には認証情報も内部知識も関与せず、人間がループに入ることもなかったという。CodeWallの創業者兼CEOであるPaul Priceは、2026年3月9日のThe Registerの報道で、標的の調査から報告までプロセスは完全に自律的だったと述べたが、関与した正確なプロンプトについては明らかにしなかった。

CodeWallがデータベースにあったと言っているもの

以下のすべての数値はCodeWall自身の投稿に由来するもので、独立した確認は受けていません。CodeWallはエクスプロイトペイロードを公開しておらず、Promptfooが指摘するように、これは行数を第三者が検証できないことを意味します。McKinseyも同様に、それらを確認していません。

• Lilliを使って戦略、クライアント案件、財務、M&A活動、社内調査について議論する従業員による、平文で保存された4,650万件のチャットメッセージ。

• 728,000件のファイル名。内訳はPDF 192,000件、Excelスプレッドシート93,000件、PowerPointプレゼンテーション93,000件、Word文書58,000件です。これら4種類の合計は436,000件であるため、見出しの合計にはCodeWallが個別に分類していないファイルカテゴリも含まれています。Silicon UKは2026年3月13日、文書自体はCodeWallが到達した記録とは別に保存されていたと報じました。

• 57,000件のユーザーアカウント、384,000件のAIアシスタント、94,000件のワークスペース — これについてCodeWallは、同社が社内でAIの利用をいかに組織化しているかを示す地図だと表現している。

• 12種類のモデルタイプにわたる95件のシステムプロンプトとモデル設定、さらにS3の保存パスと内部ファイルメタデータを持つ368万件のRAGドキュメントチャンク。

• 110万件のファイルと21万7,000件のエージェントメッセージが外部AI APIを通過しており、26万6,000件を超えるOpenAIベクトルストアを含みます。

CodeWallは、その連鎖を確認した当日に合計27件の所見を文書化した。対象についての背景として、投稿はLilliを2023年にローンチされ、1945年に同社が採用した最初の女性プロフェッショナルにちなんで名付けられ、43,000人以上の従業員が使用し、100,000件以上の社内文書からなるナレッジベース上で月に500,000件以上のプロンプトを処理していると説明している。The Registerに示したマッキンゼー自身の数字では、従業員の72%—40,000人以上—がこれを使用しており、2023年7月にローンチされたという。

プロンプト層は書き込み可能だった。そこへ書き込みは行われなかった。

これは、アーカイブの一行が一つのフレーズに圧縮してしまっている区別であり、切り分けて考える価値がある。CodeWallの指摘は、Lilliのシステムプロンプトが他のすべてと同じデータベースに置かれていたため、書き込みアクセスを持つ攻撃者ならそれを書き換えられたというものだ——投稿の表現では「静かに」、「デプロイ不要、コード変更不要、単一のHTTP呼び出しに包まれた単一のUPDATE文だけ」で。CodeWallは、それに続くとして4つの帰結を挙げている。内部ツールを信頼するコンサルタントへの有害な助言、生成された回答を通じた機密資料の外部流出、ガードレール指示の削除、そして検知できるファイル変更やプロセスの異常を残さない永続化である。

CodeWallが主張していないのは、自らがこれらのいずれかを行ったということだ。投稿には「すべてのテストは検証のみだった」と記され、アクセスは各脆弱性を確認するのに必要な最小限に限られ、「いかなる本番サービスにも混乱は生じさせなかった」とされている。PriceはThe Registerに正確なプロンプトを渡すことを拒否した。したがって、プロンプト層の書き換え可能性は、インジェクションに裏付けられた能力上の主張であって、Lilliの挙動が変更されたことを実証したものではなく、Lilliがコンサルタントに与えた回答が操作されたという証拠は一切公開されていない。

アーカイブ記録はその境界を反映している。つまり、AIプロンプト層への書き込みアクセスを記録しているのであり、それはCodeWallが確立したものであって、その改変ではない。改変については誰も示していない。

マッキンゼーが述べていること

McKinsey側の説明はより限定的だ。同社はSilicon UKが報じた声明で、最近、社内AIツール「Lilli」に関連する脆弱性についてセキュリティ研究者から警告を受け、当社は直ちに脆弱性を確認し、数時間以内に問題を修正した、顧客データや顧客の機密情報へのアクセスはなかったと述べた。The Registerにはさらに、大手第三者フォレンジック企業の支援を受けた調査で、研究者「またはその他の無権限の第三者」によって顧客データや顧客の機密情報がアクセスされた証拠は見つからず、「McKinseyのサイバーセキュリティシステムは堅牢だ」と付け加えた。

McKinseyとCodeWallは、タイミングについても若干見解が異なる。CodeWallのタイムラインでは、自社の開示メールが2026年3月1日にMcKinseyのセキュリティチームへ送られ、CISOが受領を認めて詳細な証拠を求めたのが3月2日、そしてパッチ——すべての未認証エンドポイントの閉鎖、開発環境のオフライン化、公開APIドキュメントのブロック——が同じ3月2日に実施されたと記録されている。McKinseyの「数時間以内」という説明は、3月1日のメールを起点とするなら同日修正と整合するが、CodeWall自身の日付入り記録では、修復は開示から数時間後ではなく1日後になる。両者は実質面では一致している。エンドポイントは閉鎖され、公開ドキュメントは撤回された。CodeWallは公開前に修復を検証したと述べている。Financial Timesは2026年3月12日に、「McKinsey、ハッカーが欠陥を暴露した後、AIシステムの修正に奔走」という見出しでこの一件を報じた。記事本文はペイウォールの背後にあり、本稿では閲覧できなかった。

何が確立されており、何が確立されていないのか

• 双方が認めた事実：Lilliの公開APIに未認証の脆弱性が存在しており、外部の研究者がそれを発見し、McKinseyが確認したうえで、未認証のエンドポイントにパッチを適用し、開発環境をオフラインにし、2026年3月初旬に公開APIドキュメントをブロックした。

• 一方的にのみ主張されている内容：本記事のすべての数値 — 4,650万件のメッセージ、72万8,000件のファイル名、5万7,000件のアカウント、95件の書き込み可能なプロンプト、2時間の経過時間、27件の検出結果。これらはCodeWallの報告に基づくものです。ペイロードは公開されていないため、これらの件数を再現することはできず、McKinseyもその内容を裏付けてはいません。

• 実証されていない：実際にプロンプトが改変されたこと、顧客データがシステム外に出たこと、コンサルタントが操作された回答を受け取ったことのいずれも。マッキンゼーのフォレンジック調査は、アクセスの証拠は見つからなかったと述べている。CodeWallは、そのテストは検証のみを目的としていたと述べている。これら二つの声明は矛盾しておらず、どちらも、より抑制の利かない攻撃者が同じアクセス権限で何をし得たかを証明するものではない。

• ここで確認した報道の範囲には、以下は含まれていない：CVE識別子、規制当局の通知、または当該脆弱性に関する独立した技術監査。この記録はベンダーによる研究開示と企業声明であり、裁判所への提出書類や監督当局の認定ではない。

利害関係は一つ、はっきりと明示しておくべきだろう。CodeWallはこの調査を製品のマーケティングとして公開した。その投稿は、同社が早期プレビュー段階にあり、デザインパートナーを探していると述べて終わっており、Silicon UKはPriceが同社唯一の従業員だと報じた。だからといって発見が誤りになるわけではない——The Register、Silicon UK、Promptfooはいずれも技術的な連鎖を信頼できるものとして扱っている——が、影響規模の数字を測定結果ではなくベンダーの主張として読むべき理由はそこにある。

そもそもなぜそれがAIカテゴリーに分類されるのか

入口はモデルではなかった。Promptfoo の Michael D'Angelo は 2026 年 3 月 10 日、この点を最も鋭い形でこう指摘した。「AI 固有の部分は入口ではなかった。それは影響範囲だった」。インジェクション、認証の隙間、クロスユーザーアクセスはいずれもありふれたアプリケーションセキュリティの失敗だった。このインシデントを AI インシデントにしたのは、プロンプト、ルーティング、検索設定、ユーザー履歴がすべて 1 つのバックエンドに置かれていたため、データベースへのアクセスが、数万人がクライアント業務のために相談するアシスタントの振る舞いを制御できる状態に転じたことだった。

だからこそアーカイブは、この記録をモデルの脆弱性としてではなく、WEAPON および INFRA としてタグ付けしている。エージェントは手段であり——自ら標的を選び、それを調査し、人間がどこに向けるかを決めることなくエスカレーションした自律システムであり——、失敗はインフラにある。すなわち、実際に強制されるのではなく前提とされていた認可境界である。CodeWall の締めくくりの主張、つまりプロンプトはアクセス制御やバージョン履歴、完全性監視をほとんど備えていない「新たな Crown Jewel 資産」だという主張は、継続的な自動テストを販売する企業によるアドボカシーである。また、これは投稿の中で、議論のある数字のいずれにも依存しない唯一の主張でもある。