マッキンゼーのLilliが3月9日に公開された。その記録に害はない。

2026年3月9日、セキュリティスタートアップのCodeWallは、同社が構築した自律エージェントが、マッキンゼー・アンド・カンパニーの全社AIアシスタント「Lilli」を支える本番データベースに対して、認証情報を一切使わず、約2時間で完全な読み取りおよび書き込みアクセスを取得した経緯についての説明を公開した。侵入自体は2月28日に発生していた。このAIインシデントアーカイブの項目が記録するのは、それが公になった日である。CodeWallによると、到達したデータベースには4,650万件のチャットメッセージが平文で保存され、72万8,000件のファイル、5万7,000件のユーザーアカウント、そしてLilliの回答方法を規定する95件のシステムプロンプトが含まれていた。そしてそれらのプロンプトは、エージェントが書き込み可能だったのと同じデータベース内にあった。データに含まれていた人々はマッキンゼー自身の従業員だった。同社は、従業員の72パーセント、4万人以上がLilliを使用しており、Lilliは月に50万件以上のプロンプトを処理していると述べている。重大度と信頼度の等級、および前後の記録を含む完全な項目は、Orca AI Incident Archiveに掲載されている。

その冒頭は、非常に異なる二種類の主張を圧縮したものであり、アーカイブの項目はその違いに慎重である。記録をインシデント、信頼度A、異議なし、深刻度 高、地域 米国、種別 INFRA——インフラであり、モデルの障害ではない——として格付けしている。また、実際の危害はなかったとも記録している。最後の項目は二度読む価値がある。なぜなら、それは露出が無害だったという意味ではないからだ。それは、記録上、危害が立証されなかったという意味であり、以下の記事は、二者が一致している点と、一方の企業による自社研究に関する説明だけに依拠している点を分けている。

なぜ開示はそれ自体の日付を持つ独立した事象なのか

この項目に関するアーカイブの要約は、CodeWallのエージェントがその欠陥を発見した2026年2月28日を指し示しており、アーカイブはその以前の日付を別個の記録として保持している。この分割は官僚的なものではない。3月9日より前、Lilli内部で何が起きたかを知っていたのはMcKinseyと、それをMcKinseyに伝えた研究者だけだった。3月9日以降、失敗の形、同社の対応、データベースに何が入っていたかについての主張はすべて公の記録に載り、そこでは他のセキュリティ研究者がそれらについて議論できた。

Lilliは副次的なプロジェクトではない。The Registerはその展開時期を2023年7月とし、社内のリサーチ資料全体にわたるチャット、文書分析、検索・取得を対象にしていると報じた。CodeWallの記事は、この名前の由来（同社が1945年に採用した最初の専門職女性）も記したうえで、その背後に10万件超の社内文書があると説明している。同日にこの開示を報じたThe Registerは、導入率を従業員の72%、利用量を月間50万プロンプト超とした。これはMcKinsey自身が同プラットフォームの公開ケーススタディで公表した数字である。

エージェントがどのようにして入ったのか

CodeWallの報告は、悪用ではなくドキュメントから始まる。そのエージェントは、LilliのAPIドキュメントが公開状態で、詳細に文書化されているのを発見した。全部で200以上のエンドポイントがあり、大半は認証を必要とし、22は不要だった。それらの未認証エンドポイントの一つは、ユーザーの検索クエリをデータベースに書き込んでいた。値は適切にパラメーター化されていたが、JSONキー、つまりフィールド名はSQLにそのまま連結されていた。

エージェントが気づいたのは、データベースのエラーメッセージがそれらのJSONキーをそのまま反映していたからだった。CodeWallによると、OWASPのZAPスキャナーはこの問題を検出しなかった。その後エージェントは15回のブラインド反復を実行し、各エラーメッセージからクエリの形について少しずつ学習して、やがて本番環境の実データ行が返ってくるようになった。そこから、インジェクションとオブジェクトレベルの認可の欠陥を連鎖させ、個々の従業員の検索履歴を読み取った。同社は、標的の選定から報告まで、認証情報も人間の関与もなしに、一連の実行全体が完全に自律的だったと説明している。創業者兼最高経営責任者（CEO）のPaul Price氏はThe Registerに対し、そのプロセスは「標的の調査、分析、攻撃、報告まで完全に自律的だった」と語った。

CodeWallが中にあったと言っているもの

このセクションの数値はすべて、CodeWallの3月9日の記事に由来している。ペイロードは公開されていないため、そのいずれも再現したり独立に集計したりすることはできない——この制約については次のセクションで扱う。

• 4,650万件のチャットメッセージ。平文で保存されており、戦略業務、クライアント案件、財務、合併・買収（M&A）を網羅している。

• 728,000件のファイル。うち、この記事では192,000件のPDF、93,000件のExcelスプレッドシート、93,000件のPowerPointプレゼンテーション、58,000件のWord文書を個別に挙げており、合計436,000件となる。同じ文の中で、残りの292,000件は分類されていないままになっている。

• 57,000 のユーザーアカウント、384,000 の AI アシスタント、94,000 のワークスペース。CodeWall はこれを、同社が社内で AI をどのように活用しているかを示す組織構造の全体像だと説明している。

• 12種類のモデルタイプにまたがる95件のシステムプロンプトとモデル設定。アシスタントがどのように指示され、どのようなガードレールが存在し、その下でどのモデルが使われていたかを示しています。

• 検索拡張生成（RAG）ドキュメントチャンク368万件。S3ストレージパスと内部ファイルメタデータを含み、アシスタントに供給されるナレッジベース。

• 110万件のファイルと21万7000件のエージェントメッセージが外部AI APIを通過しており、OpenAIのプラットフォーム上の26万6000以上に及ぶベクトルストアを含む。

CodeWallが最重要と見なす発見は、インジェクション自体ではなく、そのインジェクションがどこに到達したかにある。Lilliのシステムプロンプトは、エージェントが書き込み可能だった同じデータベース内の行だった。つまり、同じアクセス権を持つ攻撃者なら、単一のHTTP呼び出しに包まれた単一のUPDATE文で、アシスタントの指示を書き換えられた可能性がある。デプロイもコード変更も、差分を取るべきディスク上のファイルも不要だった。CodeWallは、自社のテストは検証のみだったと述べている。読み取りは行ったが書き込みは行っておらず、本番サービスに障害は起きていないとしている。

マッキンゼーが同じ日に述べたこと

マッキンゼーの広報担当者は3月9日、The Registerに対し、CodeWallが指摘した問題はすべて、それを把握してから数時間以内に同社が修正したと述べた。「大手第三者フォレンジック企業の支援を受けた当社の調査では、顧客データや顧客の機密情報がこの研究者またはその他の権限のない第三者によってアクセスされた証拠は見つかりませんでした」と同担当者は述べ、さらに「マッキンゼーのサイバーセキュリティシステムは堅牢です」と付け加えた。

Silicon UKは3月13日、Matthew Broersmaの記事で同じ立場を報じた。McKinseyは「最近、セキュリティ研究者から、当社の内部AIツールLilliに関連する脆弱性について警告を受けた」と述べ、「直ちに脆弱性を確認し、数時間以内に問題を修正した」とした。また、顧客データや顧客の機密情報へのアクセスはなかったという。その記事はまた、PriceがCodeWallの唯一の従業員であることにも言及している。この詳細は、両刃の剣であるだけに伝える価値がある——一人だけの調査組織が、同社自身のスキャナーが見つけられなかったものを2時間で見つけた一方で、その一人組織は、それを見つけたツールを販売してもいるのだ。

その修正をめぐる2つの説明、1日違い

CodeWall自身の開示タイムラインは次のとおりです。エージェントは2月28日にSQLインジェクションを特定し、本番データベースの列挙を開始します。同日中に攻撃チェーン全体が確認され、27件の所見が文書化されます。3月1日には、影響の概要を記載した責任ある開示のメールがMcKinseyのセキュリティチームに送信されます。3月2日には、同社の最高情報セキュリティ責任者が受領を確認し、詳細な証拠を求めます。また3月2日には、すべての未認証エンドポイントが修正・検証され、開発環境がオフラインにされ、公開APIドキュメントがブロックされます。公開開示は3月9日に行われます。

McKinsey側の説明では、修正は知らされてから数時間以内に行われた。CodeWallのタイムラインでは、パッチは開示メールの翌日とされている。どちらも記録に残っている。どちらの当事者も両者を整合させておらず、本記事もそれを行おうとはしない。違いは同日修正か翌日修正かという点にあり、重要な順序、すなわち知らされ、次にパッチが当てられ、その後公表されるという順序は争われていない。

確立済み、単一ソース、そしてその間のギャップ

確定し、双方が合意した事項： Lilliの公開APIサーフェスに未認証の脆弱性が存在していた。それは内部関係者ではなく外部のセキュリティ研究者によって発見された。McKinseyがそれを確認し、修正した。未認証のエンドポイントは閉鎖され、開発環境はオフライン化され、公開APIドキュメントはブロックされた。

単一情報源、CodeWallによるものだ：上記のすべての数値、2時間のタイムライン、15回のブラインド反復、27件の文書化された発見、そして同じインジェクションを通じてプロンプトを書き込み可能だったという主張。そのいずれも反証されてはいない。いずれも独立した検証も受けていない。なぜなら、検証を可能にするペイロードが公開されておらず、Priceは自身のチームが使用した正確なプロンプトをThe Registerに明かすことを拒否したからだ。

PromptfooというAIセキュリティ企業は3月10日に評価を公表し、その中で限界を正確に示している。公開記録は「報告されたすべての行数や悪用の各段階を独立に証明するものではない」が、事件の輪郭は裏付けている。これが入手可能な資料の正しい読み方だ。バグの種類は再構成できるが、規模は証言にすぎない。

記録が伝えない害

ここでアーカイブの格付けが実際に機能する。全社規模のアシスタントの本番データベース内で読み書きアクセスに至る2時間の経路は、危害記録のように聞こえるが、アーカイブは何も記録していない。この項目は次の3つに依拠している。マッキンゼーが、第三者によるフォレンジック調査で顧客データへのアクセスの証拠は見つからなかったと述べていること。CodeWallが、自社のテストは検証のみで何も妨害しなかったと述べていること。そして、本記事のために確認した報道の中に、相反する調査結果が存在しないこと。

独立した技術監査、規制当局の判断、漏洩通知に基づくものではない。確認したどの報道においてもCVE識別子は割り当てられていない。Lilliは配布される製品ではなく社内ソフトウェアであり、いかなる勧告もCVEを挙げていない。また、監督当局が事案を開始した形跡もない。本記事のために確認した報道の中では、データが利用、販売、またはさらに露出されたことを示す公開証拠は見つからなかった。ここで「実際の被害は記録されていない」とはそういう意味である。記録に関する証拠の表明であり、露出が安全だったという認定ではない。

その隔たりが重要なのは、興味深いリスクが将来に向けたものだったからだ。読み取りアクセスは、そこに何があったかを明らかにする。プロンプト層への書き込みアクセスは、アシスタントが次に何を言うかを明らかにする——毒を仕込まれた助言、ガードレールの除去、機密資料が回答に織り込まれ、それをコンサルタントが顧客の文書に貼り付けてしまうといったことだ。CodeWallは、そうした帰結が同じアクセス権を持つ誰にでも利用可能だと述べていた。それが実際に行使されたことを示した者は誰もいない。両方の主張は同時に真であり得る。能力は実在したが、誰かが公表した証拠の上では害は現実化しなかったのだ。

なぜこれがモデルの失敗ではなく、インフラストラクチャとして記録されるのか

アーカイブはこの記録にINFRAというタグを付けており、技術記録もそのタグを裏付けている。CodeWallの説明には、モデルをだます必要はどこにもなかった。ジェイルブレイクも、文書からのプロンプトインジェクションも、アシスタントに受け入れさせようとする敵対的入力もなかった。入口となったのは、公開された文書、認証チェックの欠落、安全でないSQL構築だった。モデルは単に、その扉の先にある最も価値の高いものにすぎなかった。

Promptfooの3月10日の分析は、防御側から同じ区別を下している。Lilliは「公開記録を見る限り、AIシステムにまで到達したアプリケーションセキュリティ上のインシデントのように見え、モデルのジェイルブレイクではない」としており、AIセキュリティと呼ばれているものの多くは、依然としてソフトウェアセキュリティ、データセキュリティ、そして設定のガバナンスである。AI固有の部分は侵害そのものではなく、影響範囲の広さだった——プロンプト、ルーティングルール、検索設定が可変のアプリケーションデータであったため、データベースへの書き込みアクセスは、コードに一切触れることなくアシスタントの挙動を変更できる能力になったのだ。

その後、何が変わりましたか？

両当事者が説明している具体的な変更は、未認証のエンドポイントが閉鎖され検証されたこと、開発環境がオフラインにされたこと、公開APIドキュメントがブロックされたことだ。McKinseyは、脆弱性を発見し、確認し、修正したと述べており、公式な立場としては、顧客データにはアクセスされていないとしている。

変わらなかったのは、このインシデントが示したより広範な露出だ。CodeWallの記事は、プロンプトがデータベースに保存され、APIを通じて渡され、設定ファイルにキャッシュされており、アクセス制御やバージョン履歴、完全性監視がほとんど施されていないと主張して締めくくっている。これは業界全体についての主張であって、McKinseyについての知見ではなく、継続的な自動テストを販売する企業の主張として読むべきものだ。同社は早期プレビュー段階にあり、設計パートナーを探している。この開示は実演を兼ねている。

記録に残るものは、議論よりも狭く、より有用である。全社規模のアシスタント、本番データベース、2時間、認証情報なし、そして、事実にアクセスできる両当事者がそろってデータは使用されなかったと述べているため、虚偽と読める被害に関する記述。その件数は当事者の一方に帰属する。脆弱性は双方に帰属する。