あるDeepSeek AIエージェントが、プロキシジャッキングキャンペーンの一環としてサイバーセキュリティ企業のネットワークを攻撃しました。これを受けて同社は罠を仕掛け、このエージェントの制御を奪いました。
この攻撃は、テルアビブを拠点とするAIサイバーセキュリティ企業Jesta Securityが観測し阻止したもので、本日公開されたレポートによれば、ここ数週間でAIエージェントがサードパーティのネットワークを攻撃する事例としては最新のものとなります。ただし、ベンチマークテスト中にHugging Faceを攻撃したOpenAIモデルの事例――大規模言語モデル(LLM)が問題を解決する最善策を探そうとした結果、意図せず引き起こされたもの――とは対照的に、今回の攻撃は意図的なものだったと、Jestaの共同創業者兼CEOであるAviv Halfon氏はDark Reading誌に語っています。
「悪意を持った人間の脅威アクターが、意図的にAIモデルを武器化し、エージェント型の攻撃キャンペーンを最初から最後まで実行させました」と同氏は述べています。もっとも、その目的はシステム上の何かを盗んだり、暗号化したり、改変したりすることではなく、さらなる攻撃のためのインフラを構築することにありました。「攻撃者は、侵害した我々の環境を、次の作戦のための足場として利用していました」とHalfon氏は言います。
Jestaはまた、攻撃者がAIモデルであることを特定し、その活動を追跡することで攻撃の由来と性質を解明することもできました。「OpenAIの事例とは異なり、今回のキャンペーンについての発見と知見は、防御側から得られたものです」とHalfon氏は語っています。
さらに、その後の調査により、このモデルの武器化の背後に中国系の脅威アクターがいることを示す「強力な兆候」が明らかになったといいます。北京のタイムゾーンに関連する活動や、ペイロードに中国語の文字が含まれていたことなどがその根拠です。「これらの要素は、中国が発信源であることを示しています」とHalfon氏はDark Reading誌に語っています。
5日間にわたるエージェントの攻撃
攻撃が始まったのは「ある静かな木曜日」、7月2日のことでした。Jestaの研究者たちは、自社の環境を人間のように、しかし「超人的な速度で」スキャンし始める不審な活動に気づいたと、同社のブログ記事は述べています。Jestaは現在ステルスモードで運営されており、自律型AI攻撃に対する防御レイヤーの構築を目指しています。
研究者たちは、その活動が内部由来のものではないことを確認し、AIモデルによるものだと疑いました。そして最終的に、「言語モデルなら無視できないが、人間なら二度見すらしないようなもの」を環境内に仕込んで罠を仕掛け、それに対してどう反応するかを見守ったとレポートは述べています。
Jestaによると、5日間にわたり、このモデルは数百回にも及ぶ短時間のSSHセッションを通じて偵察を行い、対象システムのプロファイリングを試みました。この活動には特徴的なパターンが見られました。エージェントは接続し、1つのコマンドを実行し、切断した後、短い間隔を置いて「考える」ために戻ってくる、というものです。研究者らによると、5日間で871回のセッションが記録され、その大半は2秒未満で終わっていたといいます。
Jestaの研究者たちはこの活動を分析し、このエージェントの明らかな目的は、セキュリティの甘いサーバーを侵害し、MicroSocks製のSOCKS5プロキシを展開することで分散型のリレーインフラのネットワークを構築するプロキシジャッキングであると結論づけました。研究者たちはまた、1,283台のホストを含むターゲットリストと、それらのシステムに紐づく認証情報も発見しており、これらは以降のスキャンや侵入、その他の悪意ある活動における出口ノードとして利用され得るものでした。
あらゆる兆候が自律型AIを指し示す
今回の攻撃は、それが「完全に自律的」であったことを示すいくつもの手がかりを残していたと、Halfon氏はDark Reading誌に語っています。まず、このキャンペーンの規模――Jesta以外にも同様の手口で約1,000の被害者を標的にしていました――は、人間が同時に成し得るものではなかったといいます。
第二に、「その挙動自体が完全にエージェント的なもの」であり、幻覚(ハルシネーション)を伴い、出力の構造化がモデルにしか読み取れない形式でなされ、重大な判断を含む応答速度も人間には到達できない水準だったと、Halfon氏は述べています。
「決定打となったのは、我々の権限を使ってこのモデルに自身の正確な素性を抽出・出力させたところ、一瞬でそれをやってのけたことです。これは人間が介在していないことを裏付けています」と同氏は付け加えています。その正体は、あるLLMによって駆動されるDeepseekのバージョン4「Flash free」モデルでした。
Jestaは、調査の過程で発見した被害者の一部――その多くはウェブサイトやアプリケーションをホストする中小企業(SMB)でした――およびそれぞれのクラウドプロバイダーに連絡を取り、攻撃を確認しました。ただし彼らは匿名を希望したと、Halfon氏はDark Reading誌に語っています。
AIへの最善の防御は「関与」すること
実際、特に熟練度の低い攻撃者による自律型AI攻撃が、近いうちに例外ではなく常態になりかねないという証拠は積み上がりつつあり、防御側はそれに備える必要があると、Halfon氏は述べています。「我々が発見した今回のキャンペーンをはじめ、これらの事例は今後の攻撃の規模と激しさが今後さらに増していくことを示しています」と同氏は語っています。
Jesta自身の今回の対応は、AIモデルが主導する攻撃に直面した際、組織がどう対処すべきか、そして何をすべきでないかを知る手がかりになります。後者について言えば、攻撃者を単にブロックするだけの対応は、攻撃者に別の方向をより速く試すことを学ばせるだけであり、防御側にとって攻撃の内容や次への備え方に関する情報は何も得られないと、Halfon氏は指摘しています。
それに対し、「攻撃者と関わりを持つことで、その本当の狙いが見えてきます。使用しているかもしれないゼロデイ脆弱性、攻撃者の帰属、目的やツールなど、多くのことが分かるのです」と同氏は語っています。「関与することで攻撃をより早く止められるようになり、今回の攻撃や次のAI主導の攻撃を実行するコストと難易度を、はるかに高いものにできます」とHalfon氏は述べています。
これだけの対応をするリソースを持たない中小企業であっても、インフラ内にデフォルトの認証情報や不必要に開放されたポートがないことを確認するだけで、セキュリティ態勢を強化できると同氏は付け加えています。
「それに加えて、特にAIの攻撃者に対しては、シンプルな欺瞞策――ハニートークンやトリップワイヤーの導入をお勧めします」とHalfon氏は述べています。「AIエージェントはあらゆる経路を試そうとする一方で、何が本物で何がそうでないかを見分けるのに苦労するため、そうしたやり取りは驚くほど容易に検知できます。中小企業にとっては、安価で信頼性の高い早期警戒手段となるでしょう」
