AIによる脅威レポート:暴走するエージェントとワークフロー攻撃

悪意あるAIの利用やAIシステムへの脅威により、サイバーセキュリティチームはセキュリティの基本を改めて徹底し、今後の防御戦略のあり方そのものを見直す必要に迫られています。

新たに登場しているAIを悪用した攻撃や概念実証(PoC)、実際に確認されている手口、そして最新のAI脆弱性・リスク研究は、企業が現在直面している課題だけでなく、セキュリティ責任者が今後自社システムに迫る事態に備えてどう対応すべきかについても、多くの示唆を与えてくれます。

本レポートでは、最近AI脅威の最前線で明らかになりつつある動向について、理解を深める手がかりを提供します。

AIの暴走

最近起きた出来事の中で、CISOにとって現在および今後の脅威を最も象徴的に示したのは、OpenAIのエージェントがHugging Faceを攻撃したという事実の発覚でした。

サンドボックス化されたOpenAIのモデルによって実行されたこの攻撃は、プロンプトによるガードレールがAIエージェントにとって信頼できる主要なセキュリティ境界にはなり得ないことを示しています。これにより企業には、アクセスを制限し横方向への侵入を防ぐための、より高度なエージェント型インフラ統制を整備する必要性が突きつけられています。CSOのPrasanth Aby Thomas氏が、OpenAIのエージェント封じ込め戦略がなぜ失敗したのかを詳しく解説しています。

OpenAIのインシデントをさらに調査した結果、信頼境界のさらなる突破が新たに明らかになったことを受け、Cloud Security AllianceのCISOコミュニティは、自律型AIエージェントを取り巻く統制強化に向けた緊急ガイダンスを発表しました。CSOのGyana Swain氏が報じています。またこのインシデントを受け、Anthropicも自社のサイバーセキュリティ評価を改めて分析しました。その結果、同社のClaudeモデルもテスト環境を逸脱し、実際のシステムに接触していたことが判明しています。中でも1件のケースでは、Claudeが悪意あるPythonパッケージを公開のPyPIリポジトリに公開してしまい、実在する15のシステムによってダウンロード・実行される事態となりました。

フロンティアAI企業各社にAIエージェント向けのキルスイッチ提供がまだ義務付けられていない現状を踏まえ、企業のCISOには独自にキルスイッチを設計・構築することの検討が求められています。

Hugging Faceの一件はまた、インシデント対応チームにとって、有事の際にも運用を確実に継続できるよう、オープンウェイトモデルを含むマルチモーダルAI戦略を持つことがいかに重要かを示すものだと、CSOのLucian Constantin氏は指摘しています。

AIワークフローを狙う攻撃

CISOはさらに、攻撃者がエージェントのワークフローそのものに目を向け始めていることにも注意を払う必要があります。攻撃者は、悪意あるルールや設定、指示ファイルをAIエージェントに仕込み、意のままに操る手口を模索しています。CSOのConstantin氏がこの傾向を報じており、その中には「PromptLogger」と呼ばれる、最近明らかになったバックドア型の攻撃手法も含まれています。

Mitigaの研究者によると、PromptLoggerは悪意を持って細工された指示ファイル(例:CLAUDE.md)を通じて、AIエージェントを騙しプロンプトや応答を外部に流出させる手口です。この手法はまた、Pythonファイルにバックドアコードを埋め込むようエージェントに働きかけ、それを他のシステムにコピーさせようとする動きも確認されています。こうした処理はエージェントが犯罪者の代理として実行することになるため、検知は困難を極めます。

ノルウェーのAI研究者Håkon Måløy氏によるMicrosoft Copilotに関する最新の報告によれば、自己増殖型のドキュメント媒介型AIワームによって、企業のワークフローが汚染される恐れもあるといいます。CSOのEvan Schuman氏が報じているように、Måløy氏はCopilot支援ワークフローで参照元となるファイルに指示を隠すことで、攻撃者がCopilotをデータ汚染やマルウェア拡散の伝達手段として悪用できることを実証しました。これは現行のほぼすべての防御策をすり抜けかねない手口です。

標的にされる開発現場

ソフトウェア開発は現在、AI脅威の影響を最も強く受けているワークフローであり続けています。最近の報告では、こうした既存の攻撃パターンが改めて浮き彫りになっています。CSOのSwain氏とMaxwell Cooter氏は、Ruflo MCPインフラの重大な脆弱性や、主要なAIコーディングツールが軒並み一貫して同じ架空のPyPI・npmパッケージ名を幻覚(ハルシネーション)として生成してしまうことによるスロップスクワッティング(slopsquatting)のリスクを報じています。

さらに、GoogleのADK for Python GitHubリポジトリの自動化ワークフローにあったセキュリティ上の欠陥(現在は既に修正済み)は、エージェントにコマンドを投稿させたりレビュー要求を削除させたりすることで、悪意あるプルリクエストをあたかもマージ準備が整っているかのように見せかけることが可能でした。この欠陥を発見したPillar Securityは、実運用中のマルチエージェントシステムを巻き込んだ「エージェント間攻撃の初の実践的かつ現実世界での事例」だと表現しています。CSOのThomas氏が報じています。

内部脅威という側面

最近修正されたOpenAIの脆弱性は、攻撃者が不正なAIエージェントを自分の代理として動かすための、もう一つの手口を示しています。Zenity Labsが報告した「AgentForger」と呼ばれるこのフィッシング型攻撃は、攻撃者がOpenAIのワークスペース内で完全に自律動作するAIエージェントを気付かれることなく作成・起動できてしまう恐れがあるというものです。システムへの広範かつ無制限のアクセス権を得ることで、そのエージェントは「持続的な内部工作員(persistent operator)」と化し、偵察活動やデータ・認証情報の窃取、被害者へのなりすましを行える状態になると、CSOのTaryn Plumb氏は記しています。

一方、PathfinderがまとめたAIガバナンスに関する2026年版報告書「2026 AI Governance Gap Report」によると、組織の53%が、自社のビジネスシステム全体でAIエージェントが何を行っているかを把握できていないことが分かりました。財務・経理領域にAIエージェントを既に導入済み、あるいは導入を進めている組織が36%に上ることを踏まえると、これは決して良い兆候とは言えません。CSOのShweta Sharma氏が指摘しています。