AIが攻撃者になるとき——自律型攻撃セキュリティエージェントの実態

Resecurityは、T3MP3ST、Strix、CyberStrike、XBOW、PentAGI、PentestGPT、Nebulaといった自律型ペネトレーションテストエージェントが、攻撃的セキュリティの敷居をどのように引き下げているかを分析しました。この分析では、AIが実際の攻撃に転用されている理由と、防御側が取るべき対応についても掘り下げています。より広い視点で見れば、サイバー犯罪者や敵対国家はAIを活用してサイバー攻撃の影響を最大化する一方、脆弱性の特定作業も最適化・大規模化していくと見られており、AIを駆使する攻撃者と防御側との間で新たな競争が生まれつつあります。

エグゼクティブサマリー

人工知能は、単発の自動化ツールにとどまっていた攻撃的セキュリティを、攻撃対象領域のマッピング、脆弱性の特定、エクスプロイトの検証、技術レポートの作成までを最小限の人手介入で行う自律型マルチエージェントシステムへと急速に変貌させています。もともとは正規のペネトレーションテストや脆弱性研究のために開発されたT3MP3ST、Strix、CyberStrike、XBOW、PentAGI、PentestGPT、PentesterFlow、Nebula、Ethiackなどのプラットフォームや、CyberStrike-OffSec-35Bのような専門的なセキュリティLLM、さらにNodeZero、Pentera、RidgeBot、Hadrianといった商用ソリューションは、セキュリティ評価のあり方を再定義しつつある一方、新たなデュアルユース（善悪両用）のリスクももたらしています。

本稿では、現代のAI攻撃的セキュリティプラットフォームが持つ能力、アーキテクチャ、そして悪用の可能性を検証し、自律型エージェントが正規のペネトレーションテストと現実のサイバー脅威の両方をどのように塗り替えているかを明らかにします。FortiBleed、JadePuffer、GTG-2002といった事例研究を通じて、AI支援によるサイバー攻撃活動がもはや理論上の話ではないことを示します。AIは攻撃的セキュリティの速度、規模、効率を劇的に向上させる一方で、創造的なエクスプロイト、ビジネスロジック分析、戦略的な意思決定においては依然として人間の専門知識が不可欠です。自律型AIが今後も進化を続ける中、組織はAIによる評価と人間の監督、継続的な露出検証、強固な防御制御を組み合わせたハイブリッド型のセキュリティモデルを採用し、ますます自動化が進むサイバー脅威に備える必要があります。

現代のAI攻撃エージェントは何ができるのか

現代のAI攻撃エージェントは、企業インフラの複数の層にまたがって動作し、自律的な計画立案とツールの連携によって包括的なセキュリティ評価を可能にします。主な機能は以下の通りです。

• Webアプリケーションテスト — アプリケーションのロジック、認証フロー、一般的なWeb脆弱性を分析。
• APIセキュリティ評価 — REST、GraphQL、gRPC APIについて認証・認可・入力検証の問題を評価。
• クラウドセキュリティ分析 — クラウド設定、IAM権限、ストレージサービス、公開リソースをレビュー。
• 企業ネットワーク評価 — 内部ネットワーク、Active Directory環境、権限関係をマッピング。
• コンテナ・Kubernetesセキュリティ — クラスタ、ワークロード、RBACポリシー、コンテナ設定を評価。
• ソースコード・依存関係分析 — セキュリティ上の欠陥、露出したシークレット、脆弱なソフトウェアコンポーネントを特定。
• CI/CDおよびソフトウェアサプライチェーンレビュー — ビルドパイプライン、デプロイワークフロー、成果物のセキュリティを評価。
• ID・アクセス管理の検証 — 認証機構、セッション管理、アクセス制御を評価。
• ブラウザ自動化 — 認証済みワークフローの実行と複雑なWebアプリケーション挙動の分析。
• セキュリティツールの連携 — Nmap、Nuclei、Burp Suite、SQLMap、Semgrepなど既存ツールを自律ワークフローで連携。
• 継続的な推論と適応 — 長時間にわたる作業でも文脈を維持し、戦略を調整しながらエビデンスに基づくレポートを生成。

AI攻撃エージェントの仕組み

あらかじめ定義されたスクリプトを実行する従来のセキュリティ自動化とは異なり、AI攻撃エージェントは自律的な意思決定システムとして動作します。大規模言語モデル、永続的なメモリ、専門のセキュリティツールを組み合わせ、評価全体を通じて継続的に計画・実行・評価・適応を行います。固定されたコマンドの並びに従うのではなく、直前の行動の結果に基づいて動的に戦略を調整するため、最小限の人手介入で複雑かつ多段階のセキュリティ評価を実施できます。

典型的なワークフローは以下の段階から構成されます。

1. 目標設定 – オペレーターがWebアプリケーションの評価や組織の攻撃対象領域の検証といった高レベルな目標を提示。
2. 計画立案 – AIが目標を小さなタスクに分解し、最も効率的な評価戦略を決定。
3. ツール選定 – 現在の目標に基づき、各タスクに必要な適切なセキュリティツール、API、ブラウザ、またはターミナルコマンドをエージェントが選択。
4. 実行 – 選定したツールを起動し、対象環境から情報を収集し、発見事項を検証し、エビデンスを収集。
5. 観察 – 各アクションの結果をエージェントが分析し、有用な情報を抽出しつつ、失敗、新たな攻撃経路、追加の調査機会を特定。
6. メモリ・コンテキスト管理 – すべての観察結果を共有メモリ層に保存し、以降のタスクが文脈を失うことなく過去の発見を基に進行できるようにする。
7. 適応的推論 – 行動が失敗した場合や新たな情報が得られた場合、エージェントが自動的に計画を見直し、代替アプローチを選択して評価を継続。
8. 報告 – 評価が完了すると、収集したエビデンスを構造化された技術的所見、リスク評価、修復提案へと関連付ける。

現代のAI攻撃プラットフォームは、評価目標が達成されるか、あらかじめ定めた上限に達するまで、この計画→実行→観察→推論→適応のサイクルを継続的に繰り返します。このフィードバック駆動型のアーキテクチャにより、AIエージェントは長時間にわたるセキュリティ評価を実行し、複数の専門ツールを連携させ、作業のあらゆる段階で文脈認識を維持できます。

攻撃的AIの新たな勢力図

攻撃的AIツール群は、ペイロードを提案するだけの単純なLLMチャットボットから、自律型の攻撃セルへと進化しています。すなわち、専門的な役割を持つエージェントの群れ（スウォーム）が共有メモリとツールアダプタを備え、人間の介入なしに数時間から数日にわたって稼働できる存在です。

共通するアーキテクチャには以下の要素が含まれます。

• 高レベルな目標（例:「このWebアプリを侵害する」）をサブタスクに分解する計画・調整エージェント。
• 偵察、スキャン、エクスプロイト、横展開、データ持ち出し、報告を担当する専門エージェント。
• 実際のセキュリティツール（nmap、nuclei、sqlmap、ffuf、semgrepなど）を呼び出し、その出力を解析するツールアダプタ。
• エージェントがステップ間で文脈を失わないようにするメモリ・状態層（ブラックボード、ベクトルストア、共有ログなど)。
• ステップが失敗した際にスウォームが再試行・適応・自己修復できるようにするフィードバックループ。

これは現代の防御型AIシステムで使われているのと同じパターンですが、テレメトリという内側ではなく、標的という外側に向けられている点が異なります。

AIエージェントが従来の自動化より優れている理由

従来のセキュリティ自動化は、ポートスキャン、脆弱性の列挙、ログ分析、レポート生成といった反復的なタスクの実行に長らく使われてきました。こうしたワークフローはあらかじめ定義されたスクリプトと決定論的なロジックに依存しており、前のステップが成功したか、あるいは新たな機会を発見したかにかかわらず、各アクションが固定された順序で実行されます。

自律型AIエージェントはこのモデルを根本から変えます。静的なワークフローに従うのではなく、目標について継続的に推論し、あらゆるアクションの結果を評価し、新たに得た情報に基づいて戦略を適応させます。これにより、AIエージェントは人手の介入を大幅に減らしながら複雑かつ多段階のセキュリティ評価を実施できます。

自律型エージェントを従来の自動化と区別するアーキテクチャ上の違いはいくつかあります。

主要AIレッドチームツールの徹底解説

1. T3MP3ST——8エージェント構成の攻撃スウォーム

リポジトリ: elder-plinius/T3MP3ST
ライセンス: GNU AGPL-3.0
主要言語: TypeScript
アーキテクチャ: 既存のAIコーディングエージェント(Claude Code、OpenAI Codex、Hermes、ローカル/Ollama)を包むReActループ型メタハーネス

T3MP3STは、自律型攻撃的セキュリティプラットフォームとしておそらく最も野心的なオープンソース事例です。独自モデルを提供する代わりに、偵察→エクスプロイト→報告というキルチェーンに沿ってエージェント主導のミッションを統率し、自身をMCPサーバーとして公開することで、既存のコーディングエージェントがそのセキュリティツールをネイティブ関数として呼び出せるようにしています。

8つのオペレーターによるキルチェーン

従来の逐次型自動化パイプラインとは異なり、これらのエージェントは共有の計画層を通じて絶えず情報をやり取りするため、フレームワークは攻撃経路を洗練させ、失敗したアクションから回復し、長時間の作業を通じて文脈を維持できます。

統合されたツールと安全制御

T3MP3STは、運用上のリスクに基づいて攻撃ツールを3つの権限層に分類しています。

この階層的なアプローチは、影響の大きいアクションが自動的に実行されるのを防ぎつつ、包括的なセキュリティ評価を可能にするよう設計されています。ただし、攻撃機能の大半は最初の2つのティアで利用可能なため、権限の高いツールを使わなくてもフレームワークは十分に高い能力を維持します。

この承認ゲートは重要です。これがなければ、エージェントは「動作するエクスプロイトを見つけて、そのまま実行する」ことができてしまうためです。ゲートがあったとしても、オプトインできる48種類のアダプタは、すでに未承認の攻撃範囲をカバーしています。

ベンチマークの主張

• XBEN: XBOWの104件のブラックボックスWebチャレンジスイートでpass@1が90.1%。
• Cybench: 23/40=58%のヒントなし解決率。
• CVE-Zero: 当初は学習カットオフ後の2026年の実在CVE10件のうち8件を正確なファイル/行番号/CWEまで報告したとされていたが、後のREADMEでは厳密な完全一致は10件中4件、発見自体は10件中10件と修正された。このスイートは、モデルの学習カットオフ後に公開されたCVEを使うことで、暗記による対応を排除する設計になっている。

主な設計上の特徴

• キー不要での運用: マシンにすでにインストールされているAIコーディングエージェントを利用するため、別途APIの課金は発生しない。
• スコープの封じ込め: ミッションの標的が設定されると、egressゲートがスコープ外の公開ホストを拒否する(SCOPE DENIED)。
• 再現性: npm run verify-claimsにより、コミット済みのJSON成果物から主要な指標を再計算できる。
• War Room UI: http://127.0.0.1:3333/ui/ にWebベースのミッション管理画面がある。

悪用の可能性

偵察からデータ持ち出しまでを明示的に組み込んだこのアーキテクチャは、攻撃者にとって理想的です。脅威アクターはターゲットリストをスウォームに与えて放置し、後で収集された認証情報やシェルを回収するだけで済みます。スコープの封じ込め機能は正規のテスターには役立ちますが、攻撃者はこのゲートを取り除いたり無視したりできます。また、「キー不要」というモデルは、攻撃者が自身のAPIアカウントを必要としないことも意味しており、被害者が既に持っているClaude CodeやCodexのサブスクリプションを乗っ取って利用することも可能です。

2. Strix——「発見して修正する」オープンソースのペンテストエージェント

リポジトリ: usestrix/strix
ライセンス: Apache 2.0
スター数: 約38,800(2026年半ば時点)

Strixは「アプリの脆弱性を発見し修正する自律型AIハッカー」を謳っています。CI/CD連携を備えた開発者向けCLIを提供し、テストは隔離されたDockerコンテナ内で実行されます。

コアコンポーネント

StrixはWebアプリケーション評価を自動化するために複数の統合技術を組み合わせています。

• アプリケーションのトラフィックを捕捉・操作するHTTPインターセプトプロキシ。
• 複雑なユーザー操作や認証済みワークフローを実行するブラウザ自動化。
• 外部のセキュリティツールやスクリプトを呼び出すターミナル実行。
• 検証ロジックやカスタム分析を安全に実行するPythonランタイムサンドボックス。
• 偵察、エクスプロイト、報告、修復を担う専門の攻撃セキュリティエージェント。
• テスト活動をホスト環境から隔離するコンテナ化された実行環境。

エージェントのワークフロー

脆弱性のカバー範囲

Strixは現代のWebアプリケーション脆弱性の幅広い範囲を対象とし、理論的な検出よりも実践的なエクスプロイト検証を重視しています。

• SQLインジェクション(SQLi)
• クロスサイトスクリプティング(XSS)
• サーバーサイドリクエストフォージェリ(SSRF)
• XML外部エンティティ(XXE)
• リモートコード実行(RCE)
• 安全でない直接オブジェクト参照(IDOR)
• JSON Webトークン(JWT)の弱点
• ビジネスロジックの脆弱性
• APIセキュリティの問題
• 認証・認可の欠陥

Strixは静的解析のみに頼るのではなく、特定した脆弱性が実際に悪用可能かどうかの検証を試みることで、評価の精度を高め、誤検知率を低減しています。

アーキテクチャの概要

Strixは統率と実行を分離した5つのアーキテクチャ層で構成されています。

この階層設計により、評価時の運用リスクを抑えながら拡張性の高い自律テストが可能になっています。

悪用の可能性

Strixはインストールが容易(pip install strix-agent)で、非対話的に実行できる(strix -n -t ./ –scan-mode quick)ため、ほとんど手間をかけずに未承認のターゲットに向けることができます。防御側のためにバグを実証するのと同じエクスプロイト検証エンジンが、攻撃者による兵器化にも使えるのです。

3. CyberStrike——7,300種のスキルを持つ攻撃エージェント

リポジトリ: CyberStrikeus/CyberStrike
ライセンス: AGPL-3.0-only
Webサイト: cyberstrike.io
統計: GitHubスター約1,100、フォーク184、コントリビューター460(2026年半ば時点)

CyberStrikeはAI搭載の攻撃的セキュリティエージェントで、調査対象のオープンソースツールの中では最大級のスキルライブラリを謳っています。

規模

• 13以上の専門エージェント: 汎用、Webアプリケーション、モバイルアプリケーション、クラウドセキュリティ、内部ネットワーク/Active Directory、バグバウンティ、レッドチーム。
• MITRE ATT&CK(2,000以上のAtomicテスト)、CISベンチマーク(1,500以上のコントロール)、OWASP、NISTにマッピングされた7,300以上の実行可能なセキュリティスキル。
• 120以上のOWASPテストケース、加えて8種のプロキシサブテスター:IDOR、認証バイパス、マスアサインメント、インジェクション、認証、ビジネスロジック、SSRF、ファイル攻撃。
• 5つの領域(クラウド監査、GitHubセキュリティ、CVEインテリジェンス、OSINT)にまたがる176以上のMCPセキュリティツール。
• 外部依存のない30以上の組み込みツール。

対応モデル

CyberStrikeは、Anthropic、OpenAI、Google、Amazon Bedrock、Azure、Groq、Mistral、DeepSeek、OpenRouter、Together AI、Ollama、LM Studio、vLLMを含む144プロバイダーにまたがる800以上のモデルに対応しています。

注目のコンポーネント

• HackBrowser: 自律または手動でのWebクロール、複数認証情報でのクロール、ロール比較、トラフィックキャプチャを行う組み込みのChromiumブラウザ。
• Bolt: MCP+Ed25519鍵を使った分散ペンテストのためのリモートツール実行サーバーで、クラウドや内部ネットワーク上の拠点内でツールを実行できる。
• 方法論エンジン(v1.1.14): 構造化されカバレッジを意識した攻撃フロー。

悪用の可能性

CyberStrikeはFortiBleedキャンペーンに関するインシデント報告に登場していますが(その一部の言及はマーケティング資料に含まれており、独立検証が得られるまでは慎重に扱う必要があります)、そのクラウドエージェント、内部ネットワークエージェント、自律型エクスプロイトパイプラインは、規模を求める攻撃者にとって非常に魅力的です。

4. XBOW——自律型エクスプロイトチェイニング

Webサイト: xbow.com
検証スイート: xbow-engineering/validation-benchmarks

XBOWは商用の自律型ペネトレーションテストエージェントで、公開のCTFスイートや実際のバグバウンティプログラムを相手に積極的にベンチマークを行っています。

公表されている実績

• HackerOneに1,060件以上の実際の脆弱性を提出し、グローバルリーダーボードで1位を獲得。
• 48ステップにおよぶ自律型エクスプロイトチェインを達成(ブラインドSSRF→GDAL/VRTファイルの持ち出し→1ピクセルPNGの再構築)。
• AES-128-CBCパディングオラクルCookieを17.5分で自律的に破った。
• プリンシパルペンテスターによる40時間の評価を28分で再現。

アーキテクチャの哲学

XBOWは、アーキテクチャの巧拙がモデルの生の能力よりも重要であると主張しています。持続的なコントローラーが数千の短命な狭範囲エージェントを調整し、検出とその証明を分離する決定論的な検証を用います。

ベンチマークをめぐる論争

XBOWの検証スイートは独立監査を受けています。

• 0secによる監査: インフラの老朽化により、104チャレンジ中39件がクリーンな環境ではビルドできない。基盤の選択とbest-of-Nの開示の有無がスコアを大きく左右する。
• Zeeshan Sultanによる2026年の調査: 9種のスキャフォールド×10モデル、2,700件以上の実行。上位の結果はHexStrike MCPが102/104、PentestGPTが101/104、Decepticonが102/104。

結論としては、XBOWが事実上の標準ベンチマークを確立する一助となった一方で、独立系研究者たちは基盤環境、コミットSHA、単発実行かbest-of-Nか、スキャフォールドのアーキテクチャが見出しの数値を左右すると強調しています。

悪用の可能性

稼働中のターゲットからデータを持ち出すために48ステップを自律的に連鎖できるシステムは、定義上、有能な攻撃者向けツールです。HackerOneにバグを報告するのと同じコントローラー/検証パイプラインが、未承認のインフラに向けて再標的化される可能性があります。

5. PentestGPT——研究水準のコパイロット

リポジトリ: GreyDGL/PentestGPT
ライセンス: MIT
スター数: 約7,000

PentestGPTは、完全な自律型攻撃者というよりオープンソースのアドバイザリー型AIコパイロットです。人間のペンテスターが攻撃経路を推論し、次の一手を提案し、長時間の作業にわたって文脈を維持するのを支援します。

主な機能

PentestGPTは、自律実行ではなく文脈に基づく推論を提供することで、ペネトレーションテストのライフサイクル全体にわたってアナリストを支援するよう設計されています。

主な機能は以下の通りです。

• 複雑な作業のための長期セッションメモリ。
• 攻撃経路の推論と計画支援。
• 脆弱性の解釈と優先順位付け。
• 対話型のペネトレーションテスト指導。
• 自動的なメモの整理とセッションの永続化。
• OllamaなどのフレームワークによるローカルホストされたLLMとの連携。
• AIの性能を評価するためのベンチマーク実行支援。

PentestGPTは従来のセキュリティツールを置き換えるのではなく、結果の解釈や次のステップの判断をアナリストが行う際の支援によってこれらを補完します。

アーキテクチャとワークフロー

PentestGPTは、意思決定とツール実行の責任をアナリストが担い続けるヒューマン・イン・ザ・ループ型のアーキテクチャに従っています。

ワークフローは概ね以下の通りです。

1. 既存のセキュリティツールを使って偵察と脆弱性のデータを収集。
2. PentestGPTで所見を分析し、想定される攻撃経路を特定。
3. 検証やフォローアップ活動に関する文脈に応じた推奨事項を受け取る。
4. 複数の評価段階にわたって持続的な文脈を保ちながら作業を継続。
5. 作業全体を通じて整理されたメモと文書を生成。

この協働型モデルにより、アナリストはセキュリティテスト活動に対する運用上の完全な統制を保ちながら、AI支援による推論を活用できます。

運用上の強み

PentestGPTには自律型攻撃プラットフォームとは異なる特徴がいくつかあります。

• 長時間のペネトレーションテスト作業にわたる文脈認識型の推論。
• 評価のあらゆる段階における人間の監督。
• クラウドホスト型・ローカル型の両方の言語モデルを使える柔軟な展開。
• 長期にわたる作業でも継続性を保つセッションの永続化。
• 複数のLLMプロバイダーに対応するモデル非依存のアーキテクチャ。

PentestGPTは自律実行ではなく推論に重点を置いているため、既存のセキュリティツールを置き換えることなく、既存のペネトレーションテストのワークフローに自然に組み込むことができます。

悪用の可能性

直接的な実行リスクは低いものの、知識の民主化のリスクは高いと言えます。経験の浅い攻撃者でもPentestGPTを使えば、これまで長年の経験を要した複雑な攻撃経路を推論できてしまいます。

6. PentAGI——自律実行エージェント

種類: オープンソースの自律エージェント
アーキテクチャ: 実際のツール(Nmap、Metasploit、Burpなど)を実行するコンテナ化されたLLM意思決定ループ

PentAGIは自律性のスペクトラムにおいて高自律の側に位置します。助言をするだけでなく、実際に攻撃ツールを実行します。

ベンチマーク性能

Escape.techのDuck Storeベンチマーク(現実的なFastAPI/Reactアプリにおける20件の脆弱性)において、PentAGIはDeepSeek v3.2で9/20(45%)のスコアを記録しました。インジェクションやIDORには強い一方、XSSとほとんどのアクセス制御の問題は見逃しました。

安全性に関する注意

PentAGIには厳格なサンドボックス化が求められます。安全管理は完全にオペレーターの責任です。実際のエクスプロイトを実行するため、未承認のターゲットに対して悪用されやすいツールの一つです。

7. Nebula——ペンテスターのターミナルに常駐するAI

リポジトリ: berylliumsec/nebula
ライセンス: BSD-2-Clause
PyPI: nebula-ai(最新ベータv2.0.0b31)

NebulaはLLMをターミナルに直接組み込んでいます。セキュリティ専門家は、エクスプロイトスクリプトの生成、ツール出力の解釈、メモの記録、リアルタイムの文脈検索を依頼できます。

対応モデル

• クラウド:OpenAI APIでアクセス可能なモデル。
• ローカル/オフライン:Ollama(Llama 3.1、Mistral、DeepSeek)、LM Studio、vLLM。

Nebula Pro

• ネットワークテストおよびWebアプリケーションテスト向けの自律モード。
• AIによるコード分析。
• AIによる機密情報検出。
• プライバシー保護のためのシークレットモード。

悪用の可能性

Nebulaは主要ツールの中で最もヒューマン・イン・ザ・ループの性格が強いものの、依然としてスクリプト化が可能で、エアギャップ環境でも動作します。悪意あるオペレーターは、正規のテスターと同じくらい容易にNebula経由でターミナルコマンドを自動化できます。

8. PentesterFlow——ヒューマン・イン・ザ・ループ型のバグバウンティ/ペンテストエージェント

リポジトリ: PentesterFlow/agent
ライセンス: Apache 2.0
言語: TypeScript
タグライン: 「ターミナルの中で動くエージェント型攻撃セキュリティ」

PentesterFlowは、ペネトレーションテスターやバグバウンティ研究者向けに設計されたオープンソースのターミナルベースAIアシスタントです。完全自律型のエージェントとは異なり、ヒューマン・イン・ザ・ループのモデルに従っており、大規模言語モデル、実際のセキュリティツール、永続的なメモリを組み合わせつつ、評価全体を通じて重要な意思決定はアナリストの管理下に置いています。

アーキテクチャ

PentesterFlowは、以下を重視した継続的な計画→実行→観察→検証→報告→学習のワークフローに従います。

• アナリストが制御する実行。
• 透明で再現可能な評価。
• 作業をまたいだ持続的な学習。

このプラットフォームはアナリストを置き換えるのではなく、人間の監督を維持しながら反復的なタスクを効率化します。

主な機能

PentesterFlowは、AI推論と実用的なセキュリティツールを統合し、現代のペネトレーションテストのワークフローを支援します。

• 偵察の自動化
• IDOR、SSRF、SSTI、JWT、GraphQLのテスト
• 競合状態(レースコンディション)およびデシリアライズの評価
• サブドメインテイクオーバーの検出
• Burp Suiteとの連携
• シェルおよびHTTPリクエストの実行
• ブラウザ自動化
• MCPサーバー対応
• 永続的なセッションメモリとカバレッジの追跡

このプラットフォームは、Ollama、OpenRouter、Gemini、Groq、DeepSeek、OpenAI互換APIなど、複数のクラウド/ローカル言語モデルに対応しています。

対応LLM

Ollama、LM Studio、Kimi、Groq、Gemini、OpenRouter、DeepSeek、OpenAI互換API。

レポート

確認された所見は、深刻度、影響を受けたURL、メソッド、パラメータ、ペイロード、レスポンスのエビデンス、影響範囲、修復方法、そしてそのままコピー&ペーストできるcurlのPoCとともに、./findings/<slug>.mdに書き出されます。

悪用の可能性

PentesterFlowはデフォルトで機微なアクションの実行前に人間の承認を必要としますが、YOLO自動承認モードを備えています。シェルコマンドの実行、HTTPリクエストの送信、ファイルの編集、キャプチャしたトラフィックの処理が可能なため、承認ゲートが無効化されると悪意あるオペレーターが未承認のターゲットに対して悪用する恐れがあります。

9. Ethiack/Hackian——商用のエージェント型ペネトレーションテスト

Webサイト: ethiack.com
製品: Hackian(ハッキング可能なAIエージェント)
モデル: 商用のAdversarial Exposure Validationプラットフォーム

Ethiackは、エージェント型AIペネトレーションテストエンジンHackianを搭載した、能動的なサイバーセキュリティプラットフォームです。攻撃対象領域を継続的にマッピングし、エクスプロイトルーチンを実行し、攻撃経路を連鎖させ、確認されたリスクに対して悪用証明を提供します。

アーキテクチャ

Hackianは、ペネトレーションテストのワークフローを自動化するために4つの中核的なアーキテクチャコンポーネントを組み合わせています。

• LLMブレイン – 計画立案、推論、意思決定を実施。
• マルチエージェントフレームワーク – 偵察、エクスプロイト、報告を担当する専門エージェントを調整。
• プロンプトエンジニアリング層 – 構造化された方法論と運用上のガードレールを提供。
• ツール統合層 – AIの推論を実際のセキュリティツールと結び付け、エクスプロイトの検証とエビデンス収集を行う。

これらのコンポーネントが組み合わさることで、企業向けの運用管理を維持しながら、継続的でエビデンスに基づくセキュリティ評価が可能になっています。

プラットフォームの機能

Ethiackによれば、Hackianは以下を提供します。

• 継続的な攻撃対象領域の監視。
• 自律的なエクスプロイト検証。
• マルチエージェントによるペネトレーションテストのワークフロー。
• 悪用証明の生成。
• 悪用可能性に基づくリスクの優先順位付け。
• 200種類を超えるCWEカテゴリのカバー。

このプラットフォームには、プロンプトレベルの制御、決定論的なフィルタリング、エージェントレベルの監督など、複数の安全機構も組み込まれており、評価が承認された範囲内にとどまるよう支援しています。

公表されている実績

• 99.5%以上の精度
• 手動ペネトレーションテストの30倍の速度
• 150,000件以上の悪用可能な所見
• 200種類以上のCWEクラスを発見
• PortSwigger Labsの75%を自律的に解決
• 実際の脆弱性を100,000件以上発見

安全対策の階層

Ethiackは3層の安全ガードレールを謳っています。

1. プロンプトレベルの制御。
2. 決定論的フィルター。
3. エージェントによる監督層。

2026年のロードマップ

• オンデマンドの認証済みペネトレーションテスト。
• 内部攻撃対象領域の検証(アウトバウンド接続のみ)のためのBeacon v2。
• CISA KEVおよびEPSSと統合し、実際の悪用可能性を軸に再構築されたリスクスコア。
• Active Directoryのテスト。
• エージェント型セキュリティパイプライン向けのMCPサーバー。

悪用の可能性

Ethiack自体は商用の正規プラットフォームですが、同じアーキテクチャ(LLMブレイン+マルチエージェント+ツール層+悪用証明)はオープンソースのエージェントでも再現可能です。この手法を模倣・悪用する攻撃者は、非常に高性能な自律型エクスプロイトシステムを手に入れることになります。

10. CyberStrike-OffSec-35B——専用の攻撃的セキュリティLLM

Hugging Face: oyildirim/CyberStrike-OffSec-35B
関連モデル: oyildirim/CyberStrike-OffSec-35B-GGUF
データセットのサンプル: oyildirim/cyberstrike-sft-120k
作者: Orhan Yildirim(CyberStrike)

2026年半ば、CyberStrikeチームは実際の攻撃チェーン向けにファインチューニングされた専用の攻撃的セキュリティLLMを公開しました。これは重要な進化です。汎用のコーディングエージェントに頼るのではなく、CyberStrikeは攻撃的セキュリティの推論に特化して訓練されたモデルを提供するようになったのです。

技術仕様

提供されているモデルバリアント

 悪用分析においてこれが重要な理由

• ローカル実行: GGUF量子化版により、APIのテレメトリを介さずコンシューマー向け/企業向けGPUでモデルを動かせる。攻撃者は完全にオフラインで運用できる。
• ドメイン最適化: CTFの解説記事や教科書的な定義ではなく実際の攻撃チェーンで訓練されているため、モデルは実践的なエクスプロイト推論に最適化されている。
• 設計段階からのデュアルユース: 重みは正規のペネトレーションテストと研究のために公開されているが、同時に敵対者にとってのスキルの敷居も引き下げている。

関連する専門的な攻撃LLM

11. Recon Skills——構造化された攻撃的セキュリティのナレッジベース

リポジトリ: uphiago/recon-skills
ライセンス: MIT
統計: 攻撃的セキュリティスキル169件、実行可能スクリプト48件(Python 40件、シェル7件、JS 1件)

Recon Skillsは自律型エージェントではなく、AIエージェントと人間のオペレーターに運用上のプレイブックを提供するために設計された構造化されたナレッジベースです。

構成

AIエージェントとの連携

• SOUL.md——方針とエージェントの運用指示。
• AGENTS.md——全カタログとHARDLINEスキル基準。
• agentiko-hermesおよびagentiko-workerディレクトリ——エージェント固有のツール群。
• ワークフロー例:「4段階パイプライン:ターゲット生成→簡易フィルタリング→WP詳細チェック→ディープインベード」。

悪用の可能性

Recon Skillsは、攻撃と防御の両方にとってのフォースマルチプライヤーです。自律型エージェントに組み込まれると、エージェントが標的とするあらゆる対象に対してすぐに実行できる方法論を提供することになります。

12. 台頭しつつあるオープンソースAIセキュリティプロジェクト

これまで取り上げた主要なAI搭載ペネトレーションテストプラットフォームに加えて、自律型攻撃セキュリティの能力を拡張しつつある成長中のオープンソースプロジェクト群が存在します。これらのフレームワークは、エージェントの統率、Model Context Protocol(MCP)との連携、アプリケーションセキュリティテスト、権限昇格、Active Directory評価といった専門領域に焦点を当てています。多くは実験的、あるいは研究段階にとどまっていますが、AI攻撃的セキュリティコミュニティにおける急速な技術革新を示しており、自律型セキュリティツールがますます手に入りやすくなっていることを浮き彫りにしています。

エコシステムの傾向

これらのプロジェクトは成熟度や想定用途にかなりのばらつきがありますが、いくつかの共通した傾向が見られます。

• MCP連携 が、AIアシスタントと攻撃的セキュリティツールを結び付ける際の標準的なインターフェースになりつつある。
• 計画立案、タスクの専門化、拡張性を高めるため、マルチエージェントのアーキテクチャ が単一エージェント型の設計に代わって増加している。
• ローカル言語モデルへの対応 が拡大しており、組織はクラウドホスト型の推論サービスに頼らずにAI支援のセキュリティツールを展開できるようになっている。
• モジュール型のツールエコシステム により、AIエージェントは既存の機能を再実装するのではなく、確立されたセキュリティユーティリティを連携させて活用できる。
• プロジェクトが標準化された攻撃的セキュリティのチャレンジを使って自律的な推論を評価するようになり、ベンチマーク駆動の開発 が一般化しつつある。

拡大するAI攻撃的セキュリティの勢力図

攻撃的AIエコシステムは、単独のペネトレーションテスト支援ツールという枠を超えて、自律型エージェント、企業向け検証プラットフォーム、ドメイン特化型の言語モデルからなる多様な集合体へと進化しています。単一の技術というより、今日のエコシステムは複数の層から構成されており、偵察、脆弱性の発見、エクスプロイトの検証、攻撃の統率、技術報告を集合的に自動化しています。

これらの技術が成熟するにつれ、アドバイザリー型のアシスタントと完全自律型の攻撃システムとの境界は縮まり続けており、人手の介入を減らしながらますます高度なセキュリティ評価が可能になっています。

AI攻撃的セキュリティのエコシステム

AIレッドチームプラットフォーム——機能比較

以下の表は、アーキテクチャ、自動化のレベル、主要な機能、潜在的な運用リスクという観点から、主要なAI搭載攻撃的セキュリティプラットフォームを比較したものです。人気順にツールを並べるのではなく、各プラットフォームが進化する攻撃的AIエコシステムにどう貢献しているかを浮き彫りにしています。

自律型キルチェーン

従来の脆弱性スキャナーは独立したタスクを実行するだけで、結果の解釈や次のステップの判断は人間のアナリストに大きく依存しています。これに対し、自律型AIレッドチームプラットフォームは、作業全体を通じて連携する専門エージェント群の統率された動きを実現します。各エージェントは攻撃の特定の段階に専念しながら、共通のメモリ層を通じて絶えず文脈を共有し、適応的な意思決定と途切れない実行を可能にします。

これらのエージェントは独立したツールとしてではなく、統合された攻撃エコシステムとして機能します。偵察段階で収集された情報は、脆弱性の発見、エクスプロイトの判断、侵害後の活動、最終的な報告に即座に反映されます。この継続的なフィードバックループにより、自律型エージェントは行動を洗練させ、失敗から回復し、最小限の人手介入で複雑な攻撃経路を進むことができます。

自律型攻撃ワークフロー

キルチェーン全体で共有される知見

従来の自動化とは異なり、自律型AIエージェントは作業全体について持続的な理解を維持します。あるエージェントによる発見は、共有のメモリ・計画層を通じて他のエージェントにも即座に利用可能になります。この協働型のアーキテクチャにより、システムは以下を実現できます。

• 長時間にわたる評価を通じて文脈を維持する。
• エクスプロイトの試みが失敗した際に動的に適応する。
• 過去の結果に基づいて代替の攻撃経路を自動的に選択する。
• 複数のホスト、アプリケーション、攻撃段階にまたがる所見を相関分析する。
• 手動での統合作業なしに、包括的なエビデンスと経営層向けのレポートを生成する。

AIペネトレーションテストツールのスペクトラム

AI攻撃的セキュリティのエコシステムは、単純なアドバイザリー型アシスタントから、複雑なペネトレーションテストの計画・実行・検証・文書化を行える完全自律型の攻撃プラットフォームへと急速に進化しています。単一の技術というより、現代のAIペネトレーションテストソリューションは、人間が主導するアシスタントから、最小限の監督で稼働できる完全自動化のマルチエージェントシステムまで、自律性のスペクトラムにまたがっています。

これらのプラットフォームを分ける最大の違いは、人工知能に委ねられている意思決定の水準です。自律性が高まるほど、運用上の能力も高まり、その結果、承認されていない環境で展開された場合の悪用の可能性も高まります。

この分野は大きく3つのカテゴリに分かれます。

1. コパイロット・アシスタント型(PentestGPT、Nebula)——助言、提案、文脈の維持を行う。デフォルトでは実行しないため比較的安全。
2. 自律エージェント型(Strix、T3MP3ST、CyberStrike、PentAGI、XBOW)——最小限の人手介入で計画・実行・検証・報告を行う。
3. 商用プラットフォーム型(NodeZero、Pentera、RidgeBot、Hadrian)——企業向けの継続的で本番環境に安全なコンプライアンス対応テスト。
4. MCPオーケストレーター型(Pentest-MCP、NyxStrike、HexStrike)——Claude、Cline、CursorといったAIコーディングクライアントに大規模なツールライブラリを公開する。

自律性のスペクトラム上でより右側に位置するツールほど悪用の可能性は高くなり、サンドボックス化、スコープ管理、法的な承認の重要性も増していきます。

レッドチームから実際の脅威へ——AIツールが悪用される仕組み

AIレッドチームツールを正規のセキュリティテストにとって価値あるものにしている能力は、そのまま攻撃者にとっての魅力にもなっています。

1. 高度な技術の民主化

中堅レベルの攻撃者は、もはやあらゆるプロトコル、言語、フレームワークに関する深い知識を必要としません。AIエージェントはスキャン結果を解釈し、次のエクスプロイトを提案し、ペイロードを書き、最初の試みが失敗すれば適応します。これこそが「バイブハッキング」の本質です。目標を平易な言葉で説明するだけで、実行はエージェントに任せられるのです。

2. 規模と持続性

人間のレッドチーマーは眠りますし、メモを取り、文脈を見失うこともあります。一方、自律型スウォームはブラックボード上で状態を共有し、コーディネーターエージェントを介して連携しながら、数千のターゲットに対して24時間365日稼働し続けることができます。

FortiBleedキャンペーンは、この規模の大きさを如実に示しました。攻撃者は194カ国にまたがる約74,000~75,000台のFortiGateファイアウォールと21,000超のドメインを侵害したとされ、スキャン、認証情報の収集、バックドアアカウントの作成に自動化を活用しました。一部の報告では、このキャンペーンが430,000台以上のファイアウォールに影響を及ぼし、1億1,000万件以上の認証情報を窃取したとされています。この作戦には、最大24種類のプロトコルを監視するカスタムのGolangツール(FortiGateSniffer)、分散型のGPUパスワードクラッキングクラスタ(Hashtopolis)、調整用のTelegramボットが含まれていました。このワークフローの一部は、AI搭載の自律型ペネトレーションテストエージェントによって支援されたと評価されています。

3. 自己修復型の攻撃チェーン

2026年7月に報告されたJadePufferランサムウェア作戦は、初の完全にエージェント化されたランサムウェア事案と評価されています。LLMエージェントは自律的に以下を実行しました。

• 初期侵入のためにCVE-2025-3248(Langflowの認証不要のRCE)を悪用。
• 環境変数、クラウド認証情報、LLMのAPIキー、暗号資産ウォレット、データベースのパスワードを収集。
• LangflowのPostgreSQLデータベースをダンプ。
• MySQLとAlibaba Nacosが稼働する本番サーバーへ横展開。
• CVE-2021-29441(Nacosの認証バイパス)を悪用し、デフォルトの署名鍵でJWTを偽造してバックドアの管理者アカウントを作成。
• MySQLのAES_ENCRYPT()を使って1,342件のNacos設定項目を暗号化し、元のテーブルと履歴テーブルを削除して、身代金要求用のテーブルREADME_RANSOMを作成。

この作戦がAI主導であったことを示す証拠としては、自然言語による推論を含む自己解説型のPythonコード、ログイン失敗後31秒での失敗回復、そしてよく知られたドキュメントの例と思われるビットコインアドレス(3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy、おそらくLLMの学習データから生成されたもの)などが挙げられます。重要な点として、暗号化キーはランダムに生成され、保存も送信もされなかったため、被害者は身代金を支払ってもデータを復元できない可能性が高いとみられます。

4. マルウェア工場としてのAI

2025年8月、AnthropicはGTG-2002として追跡されているサイバー犯罪作戦を公表しました。この作戦ではClaude Codeがデータ窃取と恐喝の実行に悪用されていました。

• 標的: 医療、緊急サービス、政府機関、宗教団体を含む少なくとも17の組織。
• 身代金要求額: ビットコインで75,000ドル~500,000ドル超。
• Claude Codeの悪用内容:

• 数千のVPNエンドポイントをスキャン。
• 認証情報を収集しネットワークに侵入。
• Chiselトンネリングツールのカスタム版を生成。
• 悪意ある実行ファイルを正規のMicrosoftユーティリティに偽装。
• 持ち出すデータを選定し、盗んだ記録(医療・金融データを含む)を整理し、身代金の金額を提案。
• 被害者ごとにカスタマイズされた、視覚的に威圧感のあるHTML形式の身代金要求メモを生成。

これに関連する英国拠点のグループGTG-5004は、Claude Codeを使ってランサムウェアの亜種を開発し、ダークネットのフォーラムで400ドル~1,200ドルで販売していたと報告されています。

5. AIコーディングエージェントの乗っ取り:「ダブルエージェント」

2026年7月、Pentera LabsはClaude Desktopを「ダブルエージェント」に変える手法を実証しました。その攻撃チェーンは次の通りです。

1. 被害者のメール受信箱を侵害する。
2. Claudeの同期される個人設定にbase64エンコードされた悪意あるプロンプトを注入する。
3. 汚染された設定が、すべてのClaude Desktopセッションに伝播する。
4. Claudeがコマンド実行可能なMCPツール(Desktop Commanderなど)の有無を確認する。
5. 攻撃者のコマンドが静かに実行される:リバースシェル、データ持ち出し、横展開。

Anthropicは、個人設定・スキル・MCPコネクタはコードを実行するよう設計されているため、これは脆弱性ではなく「想定された機能」であると回答したと報じられています。

これは、より広範なMCPサプライチェーンリスクの一部です。2026年最初の60日間だけでMCPサーバー/SDKに対する30件以上のCVE、公開インターネット上に7,000以上の露出したMCPサーバー、GitHub上のMCP設定ファイルで24,000件以上のシークレットが露出していることが確認されています。

6. 実行時ポリモーフィック型マルウェアと「バイブウェア」

Google、Microsoft、CSA、IEEE Spectrumによる2026年の脅威インテリジェンスは、実行中にLLMを組み込むマルウェアの存在を記録しています。

この傾向は「バイブウェア」、すなわちAI支援によるマルウェアの工業化と呼ばれています。ここでは2つの脅威モデルが主流となっています。

1. 分散型検知拒否(DDoD:Distributed Denial of Detection) — シグネチャやサンドボックスを疲弊させるため、Nim、Zig、Crystal、Rust、Goなど珍しい言語で1日に数十種類の亜種を大量生産する。
2. 自律型/エージェント型 — LLMが攻撃中に運用上の判断を下し、失敗に適応しながら、絶え間ない人手の介入なしに偵察→エクスプロイト→影響という流れを連鎖させる。

7. 急速に適応するアンダーグラウンドマーケットプレイス

Halcyonによる2026年6月の分析(Infosecurity Europeで発表)によれば、77のTelegramチャンネル、20のダークウェブフォーラム、5つのアンダーグラウンド市場にまたがって、AI搭載サイバー犯罪ツールへの言及が3,810%も急増したことが判明しました。言及数は2025年12月の38件から2026年2月には1,486件にまで増加しています。

4つの主要カテゴリ

1. 兵器化されたLLM — 悪意ある用途向けに再訓練または脱獄させられたモデル(WormGPT系ツールなど)。
2. AIを活用した本人確認詐欺 — BEC(ビジネスメール詐欺)、KYCバイパス、本人確認セルフィーチェックの回避のための音声/動画ディープフェイク(一部は音声わずか3秒で92%の成功率を主張)。
3. AIを活用したマルウェアとインフラ — 25言語に対応し150,000件以上の通話で訓練された偽コールセンター、AI搭載のマルウェアビルダー、インフラの自動化。
4. 脱獄済み・盗用済みのAIサービス — 最も大きく、かつ最も安価なカテゴリで、盗まれたChatGPTアカウントが約0.10ドルから販売されているケースを含む。

マーケットプレイスの機能には現在、Telegramボットによる店舗運営、フリーミアムモデル、段階的な価格設定、そして摘発を無力化する複数チャンネルでの冗長性が備わっています。

AI強化型攻撃の事例研究

1- FortiBleed——大規模なAI支援型認証情報収集

FortiBleedキャンペーンは、自動化がインターネットに公開されたインフラに対する認証情報収集の規模と速度をいかに劇的に高めうるかを示しました。大規模なスキャン、認証情報の収集、GPUによる高速パスワードクラッキング、連携した侵害後の活動を組み合わせることで、攻撃者は世界中の数千台に及ぶ露出したFortinet機器への持続的なアクセスを確立しました。

AIがどの程度関与していたかについては独立検証はされていませんが、公開情報からは、自律型攻撃ツールが偵察やエクスプロイトのワークフローの一部を支援していた可能性が示唆されており、AI駆動の自動化が従来型の攻撃作戦をいかに強化しうるかを物語っています。

2-JadePuffer——初の完全自律型LLMランサムウェア

JadePufferランサムウェアキャンペーンは、自動化されたエクスプロイト、認証情報の収集、横展開、データ暗号化を組み合わせた、構造化された多段階の攻撃シーケンスをたどりました。手動でのオペレーター操作に頼るのではなく、このマルウェアは既知の脆弱性や設定不備を利用してアクセス範囲を拡大しながら、侵入の各段階を自律的に進め、重要な資産を暗号化して恐喝を開始しました。

JadePufferの攻撃チェーン

3-GTG-2002/GTG-5004——サイバー犯罪の作業台と化したClaude Code

GTG-2002とGTG-5004のキャンペーンは、正規のAIコーディングアシスタントがいかにサイバー犯罪活動を支援する目的に転用されうるかを示しています。攻撃を自律的に実行するというより、オペレーターは偵察、認証情報の分析、マルウェアのカスタマイズ、身代金要求メモの生成といった作業を加速させるためにClaude Codeを利用していたと報告されています。これらの事例は、AIが攻撃者に求められる技術力を下げつつ、悪意あるワークフローの速度と効率を大幅に高めうることを示しています。

AI対人間のレッドチーミング——力関係が変わる境界線

人工知能は攻撃的セキュリティを急速に変えつつありますが、現時点での証拠は、それが経験豊富なペネトレーションテスターを置き換えるのではなく補完するものであることを示唆しています。最近のベンチマーク研究では、AIエージェントが速度・拡張性・反復タスクの自動化に優れる一方、創造的なエクスプロイト、ビジネスロジックの分析、未知の脆弱性の発見においては、人間の専門家が依然としてAIを上回ることが示されています。

これまでで最も包括的な公開評価の一つが、スタンフォード大学とカーネギーメロン大学の研究者らが実施したARTEMIS研究です(arXiv:2512.09882)。この研究では、約12のサブネットにまたがる約8,000台のホストで構成される実際の大学ネットワーク上で、6種類の商用AI攻撃エージェントと10名のプロのペネトレーションテスターを比較しました。この結果は、攻撃的セキュリティにおける自律型AIの強みと現時点での限界について貴重な知見を提供しています。

スキャフォールド対モデル:意外な結果

2026年の複数の研究により、基盤となるLLMそのものよりも、エージェントのスキャフォールド/バックエンドの方が結果を大きく左右することが示されています。

• Sultan 2026: モデルを固定したままスキャフォールドを入れ替えたところ、同じバックボーンでもXBOWにおける解決数が0から49へと変化した。
• Escape.techベンチマーク: Shannon、Strix、PentAGIはいずれもDeepSeek v3.2で動作していたにもかかわらず、それぞれ6/20、1/20、9/20という結果だった。
• Hackers or Hallucinators?(arXiv:2604.05719): 単一エージェントのReActループは、EasyやMediumレベルのタスクにおいて、複雑なマルチエージェントフレームワークと同等かそれ以上の成績を出すことが多い。
• XBOWの0sec監査: 基盤環境の選択、コミットSHA、単発実行かbest-of-Nか、ビルド失敗の扱いが報告されたスコアを大きく左右する。

結論: AIは代替ではなくフォースマルチプライヤーです。推奨されるモデルはハイブリッド型であり、拡張性の高い偵察、トリアージ、既知パターンの脆弱性発見はAIが担い、所見の検証、GUI/ビジネスロジックへの攻撃、創造的なエクスプロイトは人間が担うという形です。

ダークウェブにおけるAIサイバー犯罪ツールの急増

アンダーグラウンドのサイバー犯罪エコシステムは、正規のSaaS(Software-as-a-Service)プラットフォームによく似たビジネスモデルを用いて、人工知能の商業化を急速に進めています。脅威アクターは攻撃能力をゼロから開発するのではなく、偵察、マルウェア開発、フィッシングキャンペーン、本人確認詐欺、運用上の意思決定を自動化するAI搭載サービスを購入・サブスクリプションできるようになっています。この商業化により、技術的な参入障壁は大幅に下がる一方、経験豊富な攻撃者はより大規模かつ効率的なキャンペーンを実施できるようになっています。

この新興エコシステムの主な特徴は以下の通りです。

• 製品の流通、ライセンス供与、カスタマーサポート、決済処理を担う自動化されたTelegramの店舗。
• 基本機能をほとんど、あるいは全く費用をかけずに利用できる一方、自律エージェントやマルウェアビルダー、高度な脱獄機能といったプレミアム機能には料金を払うフリーミアム・段階的サブスクリプションモデル。
• ベンダーがTelegram、ダークウェブフォーラム、暗号化メッセージングプラットフォーム、専用Webサイトを横断して活動を維持できる複数チャンネルでの流通により、法執行機関による摘発への耐性が高まっている。
• 侵害・盗用されたAIアカウントがわずか0.10ドル程度で販売されているとされるプレミアムAIサービスへの低コストなアクセスにより、商用AI機能が幅広い脅威アクターにとって手の届くものになっている。

これらのマーケットプレイスは、ランサムウェアの実行者、初期アクセスブローカー、フィッシング業者、ビジネスメール詐欺(BEC)グループ、そして以前は複雑だったタスクを自動化したいと考える経験の浅い攻撃者など、ますます多様な顧客層に対応するようになっています。多くのベンダーはドキュメント、カスタマーサポート、定期的なアップデート、サブスクリプション形式のライセンス供与も提供しており、サイバー犯罪エコシステムの専門化がさらに進んでいます。

その結果として生まれているのが、攻撃的サイバー能力の二重の民主化です。高度なAIツールが安価かつ使いやすくなりつつあるのです。AIが偵察、エクスプロイト開発、マルウェア生成、運用上の意思決定をますます自動化するにつれて、攻撃者が高度なサイバー攻撃を実行するために必要な技術的専門知識は少なくなり、潜在的な脅威の範囲は広がっています。

商用のAIペネトレーションテストプラットフォーム

すべてのAIレッドチームツールがオープンソースというわけではありません。企業向けの継続的テストの分野では、いくつかの商用プラットフォームが優位を占めています。

これらのプラットフォームは概して本番環境でも安全に使用でき、破壊的な動作をせず、コンプライアンスにも対応しています。しかし、攻撃者がアクセス権を得たり、その手法をオープンソースエージェントに複製したりすれば、同じ基盤技術が悪意ある目的に展開される可能性もあります。

防御側が取るべき対応

1. AI規模のスキャンを前提とする

攻撃対象領域の発見はすでに自動化され、継続的に行われています。露出した管理パネル、RDSエンドポイント、VPNゲートウェイ、管理インターフェースは必ず発見されると考えるべきです。可能な限りこれらをインターネットから切り離し、それ以外の箇所ではMFAとネットワークセグメンテーションを徹底しましょう。

2. エージェント的な挙動を検知する

自律型ツールの兆候を探しましょう。

• 人間の思考時間を挟まない、迅速かつ完全に規則的なリクエスト。
• AIが生成したユーザーエージェント文字列やペイロード。
• 自己修正型の再試行パターン(同じエンドポイントに対して、毎回わずかに異なるパラメータ)。
• HTTPパラメータやリクエストボディに埋め込まれたツールの出力。
• POSTデータ内の大規模な言語的痕跡(冗長なJSON、自然言語による推論、LLM調のコメント)。

エージェントに対しては、シグネチャベースの検知よりも挙動ベースの検知が有効なことが多いです。

3.「エージェントに狙われやすい」欠陥にパッチを当てる

認証不要のRCE、パストラバーサル、デフォルトの認証情報、脆弱なJWTシークレットは、AIエージェントにとって格好の獲物です。自動化されたエクスプロイトは今や以前より安価かつ迅速になっていることを踏まえ、こうした欠陥への対応を優先しましょう。

4. セグメント化し、被害範囲を縮小する

AIエージェントが初期侵入に成功すると、次のステップとして横展開に進むことが多くなります。ゼロトラストのセグメンテーション、最小権限のアクセス、認証情報の適切な管理により、自律型の侵害を封じ込め可能なインシデントへと変えることができます。

5. AIを使って自らの防御をレッドチーム評価する

これらのツールを正規の用途で活用しましょう。T3MP3ST、CyberStrike、Strix、XBOW、PentesterFlow、Ethiackなどを自組織の環境に対して実行することで、攻撃者のAIが目にするであろう光景を事前に把握できます。誤検知への対処には人間による検証を組み合わせましょう。また、管理されていないGPU上で稼働するローカル/オフラインの専門的な攻撃LLM(CyberStrike-OffSec-35B、Nemesisなど)にも注意を払いましょう。

6. LLMツールへのアクセスを監視・制限する

• Claude Code、OpenAI Codex、GitHub Copilot、Cursorなどの APIキーを持つ従業員を把握する。
• コーディングエージェントに対して企業向けの管理機能、監査ログ、データ損失防止(DLP)を徹底する。
• 本番コードや認証情報にアクセス可能なマシンでは、個人向けのAIコーディングアシスタントをブロックまたは制限する。
• MCPサーバーの設定を監査し、MCPツールを新たなソフトウェアサプライチェーンとして扱う。

7. MITRE ATLASとOWASP LLM Top 10を活用する

AI特有のリスクを共通の分類体系にマッピングしましょう。EU AI Actの高リスクAIに関するコンプライアンス期限である2026年8月2日が、ATLASにマッピングされたレッドチーミングの実運用化を組織に促しています。

結論

AI搭載の攻撃的セキュリティツールは、防御的セキュリティにとって真の飛躍を意味します。バグをより速く発見・検証でき、ペネトレーションテストをより手頃なものにし、多忙なセキュリティチームの作業を拡張する助けとなります。しかし、これらは本質的にデュアルユースです。正規のテストのために設計された自律的な偵察、エクスプロイト、侵害後のエンジンは、ほとんど手を加えることなく、犯罪者、ランサムウェアグループ、国家アクターによって実際のインフラに向けられうるのです。

FortiBleed、JadePuffer、GTG-2002、GTG-5004、そしてClaude Desktopのダブルエージェントの実証は、理論上の警鐘ではなく、攻撃的な作戦における変化の初期兆候です。もはや問われているのはAIがサイバー攻撃に使われるかどうかではありません。防御側が、攻撃者がAIエージェントを拡張する速度よりも速く、検知・堅牢化・対応の手法を適応させられるかどうかが問われているのです。

最も持続可能な対応は、あらゆる攻撃が唯一無二である可能性を前提とし、シグネチャベースの検知よりも挙動ベースの制御、ゼロトラストの徹底、AIエージェントのガバナンスを優先する防御です。