ローカルAIスタックは既にスキャン済み：Ollamaユーザーへの警告と最新動向
本記事は、ローカル環境でAIモデルを運用する開発者に対し、そのインフラが既に外部から広範囲にスキャンされている現状を警告しています。日本のOllamaユーザーを含む開発者が、自宅サーバーやVPS（さくらのVPS、ConoHa、AWS Tokyoリージョンなど）でOllamaを稼働させている状況が背景にあります。海外で行われた30日間のハニーポット実験の結果が、その危険性を浮き彫りにしました。
実験では、r/ollamaのユーザーが1GB RAMのRaspberry Piを使用し、「Heretic」モデルを搭載した高性能マシンに見せかけ、34ポートを開放してハニーポットを運用しました。その結果、30日間で113,314リクエストが記録され、Shodanには3時間でインデックスされ、最初のプローブは1時間以内に到達しました。
特筆すべきは、トラフィックの性質です。悪意ある攻撃（マルウェアやシェルアクセス試み）よりも、「タダ乗り」目的の利用が大部分を占めていました。具体的には、ファームウェアエンジニアによるSTM32データシートのJSON抽出プロンプト、セキュリティ研究者によるCVEレポート処理、さらにはClaude API呼び出しのプロキシ利用など、「露出したOllamaインスタンス＝無料コンピューティングリソース」として利用されるケースが目立ちました。
さらに、AIエージェントの新たな攻撃対象として「MCP」が急浮上しています。最初の18日間で36回だったMCPプローブは、わずか1週間で2,267回に急増し、Umai-Scanner/1.0というスキャナーが4日間で58,258回ヒットしました。プローブされたパスは、まだドラフト段階の規格である「/.well-known/mcp.json」や「/.well-known/agent.json」でした。また、AI固有の設定ファイルパス（例：/.cursor/rules、/.claude/settings.json）も継続的にスキャンされており、AI設定ファイルが「新しい.env」のような標的となっている実態が示されています。
記事は、具体的な対策として、Ollamaのポート11434を外部公開しないこと、`OLLAMA_HOST=127.0.0.1`を明示的に設定すること、そしてWeb UIを使用する場合は認証を必須とすることを強く推奨しています。また、最新のモデル動向として、Qwen 3.6のコミュニティ投票可決や、Gemma 4 on llama.cppの安定化など、ローカルAIエコシステムの急速な進化と、それに伴うセキュリティリスクの増大が指摘されています。
背景
ローカルAIモデルの普及に伴い、Ollamaなどのツールを用いて個人や企業が自宅やVPSでAI環境を構築するケースが増加しています。しかし、これらの環境を外部に公開することは、セキュリティ上の大きなリスクを伴います。本記事は、そのリスクを具体的なハニーポット実験の結果に基づいて警告するものです。
重要用語解説
- Ollama: ローカル環境で様々なオープンソースLLMを簡単に実行・管理できるツール。モデルをローカルで動かすための主要なプラットフォーム。
- ハニーポット: 意図的に脆弱性やサービスを公開し、攻撃者を誘引・分析するための仕組み。攻撃のパターンや種類を把握するために利用される。
- MCP: AIエージェントの連携や通信を扱うための新しい規格（Multi-Component Protocolなど）。AIエージェントのエコシステムが次の攻撃対象として注目されている専門用語。
今後の影響
ローカルAI環境の利用が一般化するにつれ、セキュリティ対策の徹底が必須となります。ポートの外部公開や設定ファイルの管理を怠ると、単なる情報漏洩だけでなく、無料の計算リソースとして悪用されるリスクが高まります。開発者は、より厳格なネットワーク設定と認証の導入が求められます。