🚨注意喚起🚨ComfyUI用の悪意のあるカスタムノード「ComfyUI_LLMVISION」など、第三者作成のアドオンを使用する危険性について

2024年6月14日 12:10

今日は重要なセキュリティ警告をお伝えするためこの記事を書いています🚨

最近（24年6月11日ごろ）ComfyUI用の悪意のあるカスタムノード「ComfyUI_LLMVISION」が発見されました。
このノードは、パスワードやクレジットカード情報、ブラウジング履歴などの機密データを盗むために設計されており、Redditのユーザー「u/AppleBotzz」によってアップロードされていました。盗まれたデータは、Discordサーバーに送信される仕組みになっています。

詳しくはGigazineさんの記事をお読みいただけたら概要がわかると思います。

まず、「ComfyUI_LLMVISION」を使っていた人は至急対策を！

上記、Gigazineさんの記事にもありますが、もし使用されていたなどあれば確認とクリーンアップが必要です。
一時ディレクトリに「pre_XXXX_suf」という形式のディレクトリや、「C.txt」「F.txt」といったファイルがないか確認してください。
これらが見つかった場合、関連するファイルをすべて削除し、またすべてのパスワードを変更するなどしてくださいね。

ComfyUI自体は問題ない

ComfyUIを使っていた人はドキッとしたと思います。わたしも最初このアラートをdiscordのコミュニティで知った時ちょっと焦りました…
この問題はComfyUI自体にマルウェアが仕掛けられていたわけではないことに留意してください。
問題があったのは、ComfyUI向けに第三者が作成したアドオン、つまりカスタムノードです。

第三者が作成したアドオンを使う難しさ

ComfyUIはノードを組み合わせて各種機能を実行できるAI実行インターフェースで、ComfyUI向けにさまざまなノードが存在します。
実は、今回のこの悪意あるカスタムノードは名前からしてLLM関連のものだったと考えられ、画像生成にそこまで直接的に必要とまでは言い切れないものだったから被害が少なかったと思われます。
生成AIの中でComfyUI自体を扱う人が少なかったのも被害が最小限だったと理由の一つと言えると思います。

しかし、これがもし生成AIの主流であるAUTOMATIC1111版Stable Diffusion web UIの第三者によるカスタムアドオンなどに仕込まれていたなどがあったら被害も相当数になっていたのではないでしょうか。
わたしは幸運にもこのノードを使わずに済みましたが、特に便利な機能を持つ拡張機能であればあるほど、避けるのは難しい状況です。

気を付けるべきポイントはわかるが…

「カスタムノードや拡張機能をインストールする際には、信頼できるソースからのみDLするようにしましょう。」
「特に、知らない出所のノードや拡張機能は避けるのが賢明ですね。」
「不審なノードを見つけたらすぐに使用を中止し、しかるべきコミュニティに報告してください…」

とは言っても、生成AI関連のアドオンやノードは常にアップデートされリリースされまくっている状況。いちいちノードの中身など読んでいる人のほうが稀なのでは？
それに自分で気をつけていてもやっぱり限界があります。善意で成り立っているこの業界、最新技術を追っている人にとっては痛い問題です。
常に安全が確かめられているものだけを使う。というとすると、確実にイノベーションから遅れをとっていきます。まさにジレンマ！

サンドボックスとアイソレーション

あと考えられる自己防衛のやり方はDockerやSandboxieなどのサンドボックスツールを使って、潜在的な脅威を隔離することでしょうか。
これにより悪意のあるソフトウェアがシステム全体に影響を及ぼすのを防ぐことができます。
また、サンドボックスなブラウザを用意して使うことで、リスクをさらに軽減できますね。

あとは定期的なソフトウェア更新！

さすがにここら辺を怠っている人はこのような記事を読んでいる時点で少ないと思いますが、使用しているソフトウェアやOSは常に最新の状態に保ち、セキュリティパッチを適用していくのも重要と思います。
このように出来うる限りの対策をしたり、パスワードを二段階認証など予防措置を講じてなるべく自己防衛しながら生きていくしかない世の中です。

安全に過ごすために

これらのリスクを認識し各自で必要な予防措置を講じつつ、常に警戒を怠らず最新のAIを触る。
いままで使っていたものは全然平気だったのに、突然問題が発生するということもないと言い切れません。
わたしもとても面倒臭いし怖いなと思いますが、気をつけながらこれからも生成AIと付き合っていきたいと思います。

この記事が気に入ったらサポートをしてみませんか？