API中継サービスのモデルすり替えや改ざんを検査するOSS「API Relay Audit」を解説

「公式より安く使えるAIの接続サービスがあると、開発の担当者が言っている。使わせて大丈夫なのか」「AIの開発支援ツールの接続先を、各自が好きな業者に向けているらしい。どこまで把握すべきか分からない」——AIの業務利用が広がった部署を抱える、情報システムやセキュリティの担当者から聞こえてくる声です。どちらも「料金」や「つながるかどうか」の話に見えますが、論点はそこではありません。本当は、社員が送る指示と、AIの返す答えのすべてを、正体の分からない第三者が読み書きできる経路に乗せてよいかという、接続先の管理の問題です。2026年に入り、こうした中継サービスが指示を書き換えたり、認証の情報を抜き取ったりした事例が、論文やAI企業の報告で相次いで示されました。この記事では、中継サービスの振る舞いを手元で調べる公開ソフト API Relay Audit を手がかりに、中継の何が危ういのか、この道具で何が分かり何が分からないのか、そして会社として使ってよい接続先をどう決めるかを整理します。導入や操作の手順は扱いません。

API Relay Auditとは何か。2026年10月時点で確かめられる事実

API Relay Audit は、AIの接続を仲立ちする第三者の中継サービスや代理の窓口（プロキシ）を対象に、その振る舞いを利用者の手元から調べるための公開ソフトです。公開元のリポジトリによれば、中継サービスが指示を差し込んでいないか、モデルをすり替えていないか、道具の呼び出しを書き換えていないかなどを試しの質問で確かめ、段階ごとの証拠をつけた報告書を作ります。Claude と互換の窓口、OpenAI と互換の窓口のどちらも対象として想定されています。

公開の状況も押さえておきます。リポジトリは2026年3月30日に作られ、2026年10月15日の時点でスターは約880、派生（フォーク）は83です。ライセンスは AGPL-3.0 で、作者は2020年から活動している個人のアカウントです。リリース一覧では10月10日付の v2.5.0 が最新で、その前に8月の v2.4.0、6月の v2.3.0 などが並び、数か月おきに検出の改善が続いていることが確かめられます。説明書きには、検査の段階が14、自動テストが885件あると書かれています。

配り方は二通りあると説明されています。一つは、Python の標準の機能と標準的な通信用のコマンドだけで動く1本のファイル。もう一つは、テストつきで部品に分けた開発用の版です。このほか、DeepSeek の開発支援ツール向けの拡張としても配られています。検査の組み合わせは、一般的な中継の検査、暗号資産のウォレットを扱う場面向けの検査、その両方の3種類から選ぶ形です。ウォレット向けの検査はこの記事の主題から外れるため、以降は簡単に触れるだけにします。

日本語での紹介は、2026年10月時点でほとんど見当たりません。説明書きは英語と中国語で書かれており、中国語の版では中継サービスを「中転站」と呼んでいます。安い中継サービスが広く出回っている地域の利用者を強く意識した道具だと読めますが、中継サービスそのものは国を問わず使われうるものです。日本の企業にとっても、他人事として片づけられる話ではありません。

なぜ今、AIの中継サービスが問題になっているのか

この道具の説明書きは、作られた背景として二つの一次情報を挙げています。一つ目は、2026年4月に公開された論文「Your Agent Is Mine」です。論文は、AIエージェントが外部の道具を呼び出す依頼を第三者の中継サービス経由で送る構造に注目し、中継サービスは依頼の中身をすべて平文で読める位置にあり、利用者と本来のモデルの間で中身が改ざんされていないことを暗号で保証する仕組みを、どの提供元も設けていないと指摘しています。

論文の測定では、有料の中継サービス28件と、公開の集まりで出回っていた無料の中継サービス400件を調べています。その結果、有料の1件と無料の8件が悪意のあるコードを応答に差し込んだと報告されています。うち2件は、特定の条件のときだけ差し込むなど、見つかりにくくする工夫をしていました。また17件が、研究者が用意した試験用のクラウドの認証情報に手を伸ばし、1件は研究者が用意した暗号資産の鍵から資金を抜き取ったとされています。

二つ目は、Anthropic が2026年9月に公開した脅威報告です。報告は、「安い Claude の利用」をうたう偽の再販業者が、利用者の通信を黙って別のモデルに流し、配った接続用のソフトで利用者の認証情報を盗んでいた事例を紹介しています。盗まれた認証情報は、別の中継業者に売られていたとされます。報告はさらに、こうした業者の多くが、正規の利用者がプログラムやウェブサイトにうっかり載せてしまった鍵を元手にしている、とも述べています。

この二つから見えるのは、中継サービスの危うさが「品質が悪い」程度の話ではないということです。こちらの依頼と鍵を預ける相手が、そのまま攻撃者になりうる。そして、その状態は利用者の画面からはほとんど分からない。API Relay Audit は、この見えにくさに対する一つの答えとして作られています。

中継サービスの仕組みと、利用者から見えないこと

AIを業務で使うとき、通常はAIの提供元が用意した公式の窓口に、会社や個人が契約して得た鍵を添えて依頼を送ります。中継サービスは、この間に入る業者です。利用者は公式の窓口の代わりに中継サービスの宛先と、中継サービスが発行した鍵を設定します。中継サービスは受け取った依頼を本来の提供元に転送し、返ってきた答えを利用者に戻します。安さや支払いのしやすさ、地域による使いにくさの回避などを理由に選ばれることがあるとされます。

問題は、転送の途中で何が起きているかを利用者が確かめる手段が乏しいことです。返ってきた答えが本当に指定したモデルのものか、依頼に余計な指示が足されていないか、AIエージェントが実行しようとしているコマンドの文字列が書き換えられていないか。答えの見た目が自然であれば、利用者はまず気づきません。

とくに危ういのは、AIエージェントに道具を使わせている場面です。エージェントは、AIの答えに含まれる指示に従って、ソフトの取り込みやファイルの操作を自動で進めます。論文が示したように、中継サービスがこの指示の一部を書き換えれば、利用者の手元で、利用者の権限のまま、攻撃者の望む操作が実行されうることになります。中継サービスは、単なる回線ではなく、AIエージェントの判断の材料そのものを握る立場にあるのです。

調べられること1：指示の注入と、文脈の切り詰め

説明書きによれば、API Relay Audit の検査は大きく三つの観点に分かれます。一つ目は、依頼の中身に関わる観点です。中継サービスが利用者の知らない指示をこっそり足していないか（指示の注入）、利用者の指示を上書きしていないか、隠された指示を引き出そうとする質問にどう反応するか、といった点を確かめます。

注入の手がかりとして、説明書きは使われた量（トークン数）の差に触れています。利用者が送った依頼の分量に比べて、請求の元になる量が不自然に多ければ、見えないところで何かが足されている可能性を疑えます。もちろん、これだけで注入と言い切れるわけではありません。あくまで疑いを持つための材料の一つです。

もう一つは文脈の切り詰めです。長い依頼を送ったとき、中継サービスが費用を浮かせるために途中を削っていれば、AIは不完全な材料で答えることになります。業務の文書を要約させたり、長い仕様書を読ませたりする場面では、これが答えの質を静かに落とします。改ざんだけでなく「黙って削る」ことも、業務の結果を左右するという点は、見落とされがちです。

調べられること2：道具の呼び出しの書き換えと、応答の流れの異常

二つ目の観点は、返ってくる答えの完全さです。説明書きによると、あらかじめ決めておいたソフトの取り込み用のコマンドの文字列が、中継の途中で変わっていないかを確かめます。これは論文が示した「答えへのコードの差し込み」に直接対応する検査で、AIエージェントが実行しようとする道具の呼び出しが書き換えられていないかを見るものです。

あわせて、エラーのときに返る応答に、本来見えてはならない情報が混ざっていないか（エラーからの情報の漏れ）も確かめます。中継サービスの裏側の宛先や設定が漏れていれば、運営の雑さや、別の業者への再転送を疑う手がかりになります。

さらに、答えを少しずつ流して返す方式（ストリーミング）の異常も調べます。紹介ページによれば、流れてくる出来事の種類、使用量の数え方の一貫性、思考の過程に添えられる署名などを確かめるとされています。8月の v2.4.0 では、Anthropic 形式の流れの終わり方の確認が厳しくなったと、リリースの説明にあります。答えの流れ方は提供元ごとに特徴があるため、流れ方の食い違いは、別の仕組みを経由している兆候になりうるというわけです。

調べられること3：モデルのすり替えの「兆候」

三つ目の観点が、モデルのすり替えです。高価なモデルを指定して料金を払っているのに、実際には安いモデルや別社のモデルが答えている。Anthropic の報告が示した偽の再販業者の手口が、まさにこれでした。API Relay Audit は、モデルの名乗り、決まった言い回しへの反応、流れの中で示されるモデル名、応答の速さのばらつき、上流の経路の特徴などを集めます。

ここで大事なのは、作者自身がこれらを「兆候であって、それだけで提供元のすり替えを証明するものではない」と明記していることです。AIの名乗りは、中継の設定や指示しだいでいくらでも変えられます。応答の速さも、混み具合で揺れます。説明書きは、より強い主張をするには、生の応答の記録や依頼の識別番号、再現できる繰り返しの試験など、裏づけとなる証拠が必要だとしています。

この控えめな書き方は、道具の弱さではなく誠実さと受け取るべきでしょう。すり替えを外から完全に見抜く方法は、現時点では確立していません。だからこそ、疑わしい兆候が一つでも出た中継サービスは、証明を待たずに使わないという判断を、会社の側が持っておく必要があります。

報告書の読み方：「判定不能」を合格扱いにしない

検査を終えると、報告書には段階ごとの証拠と、全体の危険度が低・中・高の3段階でまとめられます。紹介ページでは、六つの観点からなる危険度の表にも触れていますが、その六つの中身は公開の説明からは確認できませんでした。

報告書の読み方で最も大切なのは、判定できなかった項目を「問題なし」と読まないことです。説明書きは、質問が遮られた場合や答えがあいまいだった場合を「判定不能」として残し、合格とは扱わないと明言しています。10月の v2.5.0 でも、指示に関わる弱い一致は判定不能として残すよう調整されたと、リリースの説明にあります。

社内で結果を回すときは、危険度の欄だけを見て「低だったから使ってよい」と判断しないことです。どの段階で何が観測され、どこが判定不能だったかを、人が一つずつ読みます。また説明書きは、機械で読む形式の報告は、外に共有するための情報の伏せ処理をしていないと注意しています。報告書そのものが、中継の宛先や応答の中身を含む社内資料になる点も覚えておいてください。

費用の面では、紹介ページに、1回の検査で0.2〜0.5ドル程度の利用料が提供元から請求されるとあります。試しの質問を実際に中継サービスへ送る以上、検査そのものにも利用料がかかり、検査の通信も中継サービスから見えている、という前提で計画します。

社内で使う場面：接続先を審査するときの材料として

企業がこの道具を使う場面として現実的なのは、社員が使いたいと申し出た接続先や、すでに使われていると分かった接続先を審査するときです。説明書きも、本番の通信を流す前、AIエージェントによる自動化を始める前、ソフトの取り込みの提案をAIに任せる前に振る舞いを確かめる用途を挙げています。

ただし、審査の順番を取り違えないことが要です。まず「その接続先を使う理由があるか」を問い、検査はその後です。公式の窓口や、契約で責任の所在がはっきりした事業者を使える状況で、わざわざ正体の分からない中継サービスを検査して使う理由は乏しいはずです。検査は、どうしても使う必要がある接続先や、すでに使われてしまっている接続先の実態を確かめる場面で生きます。

もう一つの使い方は、社内で自前の中継の仕組みを置いている場合の点検です。利用状況の集計や費用の管理のために、社内に代理の窓口を設ける企業は少なくありません。その窓口が意図どおりに素通ししているか、設定の誤りで文脈を削っていないかを確かめる材料にもなりえます。ただし、自社の仕組みに当てる場合も、検査の結果は「兆候」であることは変わりません。

公式の窓口・中継サービス・この監査の違い

ここまでの話を、接続の経路ごとに整理します。下の表は、公式の一次情報と論文・報告の内容から、担当者が判断に使う観点を抜き出したものです。

観点	提供元の公式の窓口	第三者の中継サービス	API Relay Audit で分かること
依頼と答えを読める者	提供元（契約と規約で扱いが決まる）	中継業者も平文で読める	読まれていないことは確かめられない
指示の注入・書き換え	契約上の相手は提供元のみ	起こりうる（論文で実例の報告）	試しの質問で兆候を拾える
モデルのすり替え	指定したモデルが答える前提	起こりうる（報告で事例）	兆候のみ。証明にはならない
鍵の扱い	自社で発行・管理できる	業者の鍵か、自社の鍵を預ける	検査の際の鍵の渡し方に注意が要る
責任の所在	契約で明確	不明確なことが多い	道具は責任を負わない（合格証ではない）

表から分かるとおり、API Relay Audit は中継サービスの危うさを「消す」道具ではありません。危うさのうち、外から観測できる一部を記録に残す道具です。中継業者が依頼を読んで保存しているかどうか、受け取った鍵を後で悪用するかどうかは、外からの試しの質問では確かめようがありません。この限界を踏まえて、表の右端の列を「分かることの上限」として読んでください。

安全性の評価：紹介可とした根拠

このラインでは、紹介するソフトそのものの安全性も、公開されている事実から確かめています。API Relay Audit は「紹介可」と判定しました。根拠は次のとおりです。2026年10月15日の時点で、リポジトリにセキュリティ勧告は登録されていませんでした。取り込み時に自動で動く処理の設定も見当たりませんでした。

作者のアカウントは2020年1月に作られ、公開しているリポジトリは120あります。スターの伸びは1日あたり4程度で、短期間に不自然に集めた形跡はありません。名前が有名なソフトと紛らわしいこともなく、説明書きの内容と配り方の説明にも食い違いは見当たりませんでした。ライセンスは広く使われている AGPL-3.0 です。

加えて、説明書きの書き方も判断の材料にしました。安全を保証しないこと、人による審査や運用の監視の代わりにならないこと、判定不能を合格扱いしないことを、作者自身が明記しています。過大な宣伝をせず、分かることの限界を先に示す姿勢は、検査の道具として信頼を置く手がかりになります。ただし、問題が見つからなかったことは、安全の保証ではありません。このラインではソフトを入手も実行もしておらず、中身のコードを監査したわけでもない点を添えておきます。

ライセンス（AGPL-3.0）と、鍵の扱いで確かめること

ライセンスの AGPL-3.0 は、改変したものを配るときに元のソースコードの公開を求める考え方に加え、改変したソフトをネットワーク越しに他者に使わせる場合にも、その利用者にソースコードを提供することを条件にしています。社内の担当者が手元で検査に使うだけであれば影響は小さいと考えられますが、改変して社内外向けの検査サービスとして提供する、自社製品に組み込むといった使い方を考えるなら、法務の担当者と条件を確かめてから進めてください。

運営の面では、これは個人が開発しているソフトです。企業向けの保守の約束や、問い合わせの窓口が用意されているわけではありません。リリースは数か月おきに出ていますが、将来も同じ頻度で更新が続くとは限らない前提で扱うのが妥当です。

鍵の扱いにも注意点があります。説明書きによれば、検査に使う鍵は利用者が指定した中継サービスの宛先にだけ送られ、作者側のサーバーには送られないとされています。一方で、8月の v2.4.0 には、一部の検査の際に鍵がパソコンの中で動いている処理の一覧から見えてしまう可能性があり、v2.5.0 で渡し方を改めたとも書かれています。検査の道具であっても、鍵を扱う以上は版を確かめ、検査用に権限を絞った使い捨ての鍵を使うのが基本です。

悪用されうるリスクと、この道具の限界

API Relay Audit は守る側の道具ですが、悪用の可能性がまったくないわけではありません。考えられるのは、悪意のある中継業者が、この検査の質問の傾向を学んで検査のときだけ正直に振る舞うように仕組みを調整することです。論文でも、特定の条件のときだけ悪さをする中継サービスが見つかっています。検査に通ったことを宣伝文句に使う業者が現れる可能性も、推測ではありますが考えておくべきでしょう。

もう一つは、道具そのものを装った偽物です。Anthropic の報告は、AIの中継業者を装うサイトが、有名なAIツールに見せかけた接続用のソフトを配り、認証情報を盗んでいた手口を挙げています。同じように、監査の道具を名乗る偽の配布物が出回る可能性は否定できません。入手するなら公開元のリポジトリから、版を固定して、という基本が効きます。

そして最大の限界は、先に触れたとおり、外からの試しの質問では見えないことがある点です。中継業者が依頼の中身を保存して後で使う、預かった鍵を別の場所で使う、といった行為は、応答の振る舞いには表れません。検査で異常がなくても、情報の持ち出しがないことは確かめられない。この一点だけでも、機密を含む業務に中継サービスを使わない理由として十分です。

導入を検討するときに確かめること

それでも、すでに使われている接続先の実態を確かめたい、社内の中継の仕組みを点検したい、という場面では、この道具が役に立ちえます。導入を検討するときは、次の順に確かめてください。

この順番で大事なのは、検査の結果が出る前に「何が出たら使わないか」を決めておくことです。結果を見てから基準を決めると、使いたい気持ちに引きずられて、兆候を軽く読みがちになります。

企業が取るべき対策：使ってよい接続先を会社が決める

中継サービスの問題は、道具で一件ずつ検査するより前に、会社の決めごとで大半を防げます。Anthropic の報告も、AIの鍵とエージェントの接続を本番の認証情報と同じ重さで扱うこと、AIの利用は正規の経路から購入すること、そして未知の仲介を経由させる値引きには用心することを、利用者への助言として挙げています。これを社内の対策に落とすと、次の4点になります。

一つ目は、使ってよい接続先の一覧を会社が決めて示すことです。AIの提供元の公式の窓口と、契約を結んだ事業者の窓口だけを許可し、それ以外の宛先への接続は原則として認めません。開発支援ツールの設定で接続先を自由に書き換えられる場合は、その設定も規程の対象に含めます。二つ目は、鍵の管理です。AIの鍵は会社が発行して管理し、個人の契約の鍵や業者の鍵で業務をしない、と決めます。論文と報告のどちらも、鍵の流出が不正な中継の元手になっていると示しています。

三つ目は、通信の出口での把握です。社内の網から外へ出る通信の記録を見れば、許可していない中継サービスの宛先への接続に気づける可能性があります。四つ目は、AIエージェントの自動実行の扱いです。論文は、利用者側で取れる対策として、条件を満たさなければ止める関門、応答の異常の検査、追記しかできない記録を挙げています。社内向けに言い換えれば、AIの答えに含まれるコマンドやソフトの取り込みを、人の確認なしに実行させないことと、何が実行されたかを後から追える記録を残すことです。

AIに任せる範囲と、人が決める範囲

中継サービスの審査でも、AIを万能に扱わないことが前提です。AIに検査結果の要約を作らせるのは便利ですが、使ってよいかどうかをAIに判断させないことです。要約を作らせるなら、どの段階のどの観測を根拠にしたかを必ず書かせ、人が報告書の元の記載と照らし合わせます。避けたいのは、次のような向き合い方です。

• 「安いし、つながるから」と、正体の分からない中継サービスを業務の接続先にする
• 検査の危険度が低だったことを、安全の証明として扱う
• 判定不能の項目を「問題なし」と読み替える
• 本番の鍵や、機密の文書を含む依頼で検査する
• AIの答えに含まれるコマンドを、中継を経由したまま人の確認なしに実行させる
• 検査の結果が出てから、使うかどうかの基準を決める

裏を返せば、人が決める範囲ははっきりしています。どの接続先を許可するか、どの鍵を誰が管理するか、何が出たら使わないか、AIの答えのどの操作に人の確認を挟むか。この四つは道具にもAIにも委ねず、人が先に決めます。人が確認する範囲を先に決めておけば、道具とAIは、その範囲の中で材料をそろえる役に徹することができます。

よくある質問：中継サービスと監査の道具をめぐって

この道具で検査して問題がなければ、その中継サービスを使ってよいのですか。いいえ。作者自身が、安全を保証するものではなく、人による審査や運用の監視の代わりにもならないと明記しています。依頼の中身の保存や鍵の悪用は外から見えないため、機密を扱う業務での利用の可否は、検査とは別に会社の決めごとで判断します。

社内で中継サービスを使っているかどうかは、どう知ればよいですか。開発支援ツールやAIの接続の設定に書かれた宛先を棚卸しするのが第一歩です。あわせて、外へ出る通信の記録から、許可していない宛先への接続を探します。使っている社員を責めるより、使ってよい接続先を示し、正規の経路で必要な量を使えるように整えるほうが、抜け道は減ります。

ウォレット向けの検査は、一般の企業にも必要ですか。暗号資産の送金や署名をAIエージェントに扱わせていないのであれば、優先度は低いと考えられます。説明書きも、一般の中継の検査に通ったことが、ウォレットの安全を意味しないと区別しています。

• API Relay Audit の機能・版・ライセンス・鍵の扱いは、公開元のリポジトリ、リリース一覧、紹介ページを2026年10月15日に確かめた範囲に基づきます。数値や機能は今後の更新で変わりえます
• 中継サービスの測定結果は2026年4月公開の論文、偽の再販業者の事例は Anthropic の2026年9月の脅威報告に基づきます。日本国内での被害の件数や、国内の中継サービスの実態は、現時点で確認できる情報が限られます
• この記事は防御とガバナンスの目線で書いています。ソフトの入手・設定・実行の手順は扱いません

まとめ

API Relay Audit は、AIの中継サービスが指示の注入、モデルのすり替え、道具の呼び出しの書き換え、エラーからの情報の漏れ、応答の流れの異常などを起こしていないかを、手元からの試しの質問で調べる公開ソフトです。2026年の論文と Anthropic の報告が示したとおり、中継サービスはこちらの依頼と鍵を丸ごと預かる立場にあり、悪意があれば利用者に気づかれずに手を加えられます。

この道具が教えてくれるのは、兆候までです。判定不能を合格と読まず、異常がなくても情報の持ち出しがないとは言えない、という限界を踏まえて使う必要があります。そして企業の守りの本筋は、検査より手前にあります。使ってよい接続先を会社が決めて示し、鍵を会社が管理し、AIの答えに含まれる操作に人の確認を挟む。安さや手軽さで選ばれた接続先が、気づかないうちに業務の入口になっていないか。まずは社内の接続先の棚卸しから始めてください。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。