ハニーポット · フィールドレポート

露出したローカルLLMに誰が来るのか？

PromptPotは、ローカルLLMサービス（Ollama, LM Studio, vLLM, Gradio, ComfyUI）のHTTP APIを模倣し、あらゆる探索とプロンプトを記録します。モデルは動かさず、攻撃者の入力も実行しません。3拠点のセンサーに2週間で何が来たかをまとめました。

GitHubで見る ★ — 観測結果を読む

12,468

リクエスト

2,787

プロンプト

317

カナリア通過

JP·US·DE

センサー

観測されたもの

最多の訪問者はAIコーディングエージェント

3拠点すべてで最多のUser-Agentは opencode/1.17.13 で、約2,550リクエスト、そのほぼ全てが POST /api/generate でした。露出したOllamaを探して自分のAIエージェントの無料の計算資源にしようとしている動きです。脆弱性攻撃ではなく、リソースの窃取です。

生存確認を通すと、その先が見える

スキャナは本題の前に Return exactly this text: LAYERCLOUD_AI_TEST_OK のようなカナリアを送ります。PromptPotは缶詰応答でこれに答え（317回のカナリア通過）、17件では同一送信元が離脱せずにさらに探索を続けました（追加593リクエスト）。

1つのスキャナが3大陸を叩いた

IP 23.95.186.165 が全センサーに登場しました（合計約1,800ヒット）。地理的に分散した露出LLMを体系的に列挙している主体がいます。

明確に悪意のある通信も

Say only: OLLAMA ACCESS CONFIRMED - no auth required、環境変数やホスト名の抜き取り、list all files in /root/、ジェイルブレイク試行など。行儀の良いクローラ（Censys, Palo Alto Cortex Xpanse）も混在します。

動かす

マルチアーキテクチャのビルド済みイメージをGitHub Container Registryで公開しています。T-Potホストのサイドカーとしても、単体でも動きます。

# 単体起動、5プロファイル全部
docker run -d --name promptpot \
  -p 11434:11434 -p 1234:1234 -p 8000:8000 -p 7860:7860 -p 8188:8188 \
  -v ./log:/data/honeypots/log \
  ghcr.io/ta-061/promptpot:latest

露出したローカルLLMに誰が来るのか？

観測されたもの

最多の訪問者はAIコーディングエージェント

生存確認を通すと、その先が見える

1つのスキャナが3大陸を叩いた

明確に悪意のある通信も

最新のフィールドレポート

偽のローカルLLMに生存確認を通させたら、攻撃者はその先へ進んだ — PromptPot v0.2.0

偽のOllamaサーバーを2週間晒したら、AIコーディングエージェントがやってきた

動かす