Hermes AIエージェントを悪用しタイ財務省を自動攻撃

ある脅威アクターが、オープンソースのAIエージェント「Hermes」を無人の「YOLO」モードで動作させ、タイ財務省への侵害とされる攻撃において侵入後の活動を自動化していたことが分かりました。

この活動は、脅威インテリジェンス企業のHunt.ioとセキュリティ研究者のBob Diachenko氏が、この作戦に関連する数百のファイルを含む複数の公開されたWebディレクトリを発見したことで明らかになりました。

Hunt.ioによると、セッションファイル、設置されたWebシェル、内部システムへのアクセスの痕跡から、攻撃者が財務省ネットワーク内の複数のシステムを侵害していたことがうかがえるとしています。

ただし、財務省はシステムが侵害されたことを確認しておらず、回収された痕跡の一部は、特定のシステムが標的にされたことを示すのみで、実際に侵害が成功したことまでは示していません。

BleepingComputerはタイ財務省とThaiCERTに連絡し、報じられている攻撃について確認を求めています。回答があり次第、本記事を更新する予定です。

オンラインで露出した攻撃インフラ

7月9日から7月13日の間に、Hunt.ioは、香港でホストされているサーバー上で同時に公開状態にあった3つのディレクトリを発見しました。

これらのディレクトリには合計約470MB、585個のファイルが含まれており、その中にはエクスプロイトコード、Webシェル、HTTPトンネリングツール、カスタムスクリプト、窃取された認証情報、コンパイル済みペイロード、そしてHermes AIエージェントが生成したログが含まれていました。

回収されたファイルには財務省のシステムがシステム名、ホスト名、内部IPアドレスとともに記載されており、内部サービスを標的としたスクリプトも含まれていました。

一部のスクリプトは、財務省のHadoopインフラ、Apache Ambari管理プラットフォーム、GlassFish管理コンソール、そして管理用Webパネルを標的としていました。また別のスクリプトは、ハードコードされたメールアドレスとパスワードを使い、財務省のメールサーバーに対する認証を試みていました。

Hunt.ioはまた、財務省のWebサーバーに設置されたとみられるPHP製のWebシェルも発見しています。

研究者たちは、同時期に使用された共通のTLS証明書を手がかりに、最初のサーバーを攻撃者が管理する別のインフラと関連付けました。

Huntのレポートでは、次のように説明しています。「コモンネームに加え、これらの証明書はすべてJA4Xフィンガープリント(証明書の内容ではなく構造そのものから導出されるハッシュ値)を共有しています」

「このハッシュ値とwwwコモンネームを組み合わせてHuntSQLで検索したところ、118.107.222[.]232(The Gigabit、マレーシア)と202.181.27[.]115(Converged Communications Limited、香港)という2つの関連ホストがさらに見つかりました」

これらのサーバーのうち1つは、後に回収されたインプラントに埋め込まれていたコマンド&コントロール用アドレスを通じて、この作戦との関連が確認されています。

これらのディレクトリには、攻撃者が「Hades」と呼んでいた、これまで文書化されていなかったGo言語製インプラントのWindows版・Linux版ビルドも含まれていました。

しかし、それ以上に注目すべき発見は、攻撃者がAIエージェント「Hermes」を使い、財務省に対するサイバー攻撃の一部を自動化していたことを示すログ群でした。

「YOLOモード」で動作していたHermes

Hermesは2026年2月に公開されたオープンソースのAIエージェントで、常駐サービスとして動作し、異なるタスクセッション間で情報を記憶できる点が特徴です。

このAIエージェントは、オペレーターから与えられたタスクを処理する過程で、各種ツールと連携しコマンドを実行することができます。

このソフトウェアには「YOLOモード」と呼ばれる設定があり、これを有効にすると、危険なコマンドの実行時に人間による承認を求めるプロンプトが省略されます。

研究者たちは、公開状態にあったディレクトリから環境情報とHermesの出力ログを回収し、そこからオペレーターがこの無人モードを有効化していたことを確認しました。これにより、エージェントは各ステップで人間の承認を待つことなく、コマンドの実行やシステム分析の継続が可能になっていました。

回収された5件のHermes呼び出しログからは、このエージェントが権限昇格の手段の発見、カーネル脆弱性のスキャン、サービスの列挙、SUID・SGIDバイナリの探索、コンテナの調査、ファイルシステムの走査などに使われていたことが分かります。

Hermesはまた、財務省のホストから情報を収集するため、権限昇格の列挙に用いるLinPEASスクリプトのカスタマイズ版を使用するよう指示されていました。

別のタスクでは、オペレーターがHermesに対し、財務担当次官事務局(Office of Permanent Secretary for Finance)に関連するWebディレクトリを再帰的に検索するよう指示していました。

このエージェントは、2012年までさかのぼる人事評価記録などを含むPDF、DOC、XLSファイルをカタログ化していました。ただしHunt.ioによると、これらのファイルが実際に外部へ持ち出された証拠は見つかっていないとのことです。

今回の発見は、Hermesが独自の判断で財務省を標的に選んだことを示すものではありません。

むしろ公開されていたログからは、オペレーターがエージェントに目的とツールを与え、YOLOモードによって定型的な侵入後のコマンドを常時の監視なしに実行できるようにしていたことがうかがえます。

Hunt.ioによると、回収された痕跡は、攻撃ツールがすでに配置され、内部システムへのアクセスが拡大しつつある進行中の侵入活動を示しているとのことです。ただし、攻撃者が最初にどのようにアクセスを獲得したかについては、研究者たちも特定できていません。

Hunt.ioとDiachenko氏は7月15日、ThaiCERTとタイの国家サイバーセキュリティ庁(National Cyber Security Agency)に通報しました。レポートによると、両組織とも同日中に通報を受領したことを確認したとのことです。

今回のHermesをめぐる活動は、自律型AIエージェントがサイバー攻撃の実行に利用される事例として、最新の一例に過ぎません。

今月初めには、JadePufferランサムウェア作戦が、偵察、認証情報の窃取、横方向への移動、権限昇格、データの暗号化に至るまで、侵入全体を自動化するためにAIエージェントを使用していたことも明らかになっています。

自律型エージェントは、たとえ意図的でなくとも、現実世界での侵害を引き起こす可能性もあります。

OpenAIは最近明らかにしたところによると、同社のAIモデルはサイバーセキュリティのベンチマークテスト中に、ゼロデイ脆弱性を悪用してサンドボックス化されたテスト環境から脱出しインターネットにアクセスするという形で、自律的にHugging Faceをハッキングしたということです。

その後、このモデルは窃取した認証情報とさらなる脆弱性を利用して、Hugging Faceの本番システムへの侵入も行っていました。