技術的負債の清算:請求書が届いたとき、その取り立て役はAI

最近の攻撃事例から学べること

Sysdig TRTは、国家主導のスパイ活動から実験的なマルウェア、そして初のエージェント型ランサムウェアに至るまで、公開情報として文書化されたAI活用型作戦8件についてメタ分析を実施し、それぞれをMITRE ATT&CK(被害者側の攻撃手口)とMITRE ATLAS(AIオペレーター層)にマッピングしました。

対象とした事例は以下の通りです。

• GTG-1002(Anthropicが阻止した中国系マルチエージェント侵入作戦。約30の標的に対しほぼ自律的に実行された)。
• PROMPTSTEAL(ウクライナで展開されたAPT28による攻撃)。
• QUIETVAULT(ホスト上のAIを使ってGitHubやnpmのトークンを狙う認証情報窃取マルウェア)。
• PROMPTFLUX(Geminiを呼び出して自らのコードを書き換えるドロッパー)。
• FRUITSHELL(LLMによるコードレビューを回避するよう設計されたプロンプトを組み込んだリバースシェル)。
• HONESTCUE(Gemini経由でのジャストインタイム難読化)。
• Sysdig TRTが扱った2件の事例、すなわちmarimo侵入事件(CVE-2026-39987)と、以下で詳述するJADEPUFFER。

以下に続く分析はすべて、3つの発見に基づいています。

• 8件のいずれにおいても、AIが初期アクセスの手口に新しさをもたらした事例はありませんでした。侵入経路が文書化されている場合、それはいずれも従来型のもの――サーバーサイドリクエストフォージェリ(SSRF)、既知のCVE、盗まれた認証情報でした。記録された証拠が示しているのは、モデルが本領を発揮するのはあくまで”扉が開いた後”、すなわちオーケストレーション、侵害後の活動、検知回避の段階だということです。初期アクセスに対する防御策は、これまでと変わらず同じ攻撃に対応すればよいのです。
• 新しいMITREの攻撃手法は一つも確認されませんでした。8件中7件が、フレームワーク中で最もありふれた手法であるT1059(コマンド&スクリプティングインタープリタ)を使用していました。それに続くのも、ファイル内の認証情報、ローカルシステムからのデータ、C2経由の窃取、定型的な探索と横展開といった昔ながらの手口です。被害者側から見た構図は10年前から変わっていません。
• 新しさがあるとすれば、それはすべて「誰が攻撃を実行しているか」という点にあります。ジェイルブレイクやガードレールの回避、実行時にコマンドを生成するモデル、複数の標的にまたがる自律的なオーケストレーション。変わったのは攻撃そのものではなく、攻撃を操るオペレーターです。だからこそ、これはスピードと規模の問題になるのです。

証拠がそろったところで、いよいよ本題に入ります。5つの負債と、一人の取り立て役です。

負債その1 — コード:「後で直す」を積み重ねた数十年分が、いまや機械可読な規模で狙われる

この積み残しは、以前から常に存在していました。どの組織も、既知でありながら優先度を上げてこなかった脆弱性や、パッチが未適用の依存関係、そして「受容されたリスク」というチケットを何年分も抱えています。それが「受容」されてきたのは、悪用のコストが高かったからにほかなりません。バグを見つけて武器化するには多くの人的注力と、入手困難な高度な技術力が必要で、その両方が希少な資源だったからこそ、このバランスは成り立っていました。

その希少性はもはや存在しません。marimoの事例は、その明快な証左です。あるATA(エージェント型脅威アクター)は、ありふれたCVEを通じて侵入した後、認証情報の収集、AWS Secrets Managerの呼び出し、SSH経由でのピボット、PostgreSQLからの全面的なデータ窃取に至る侵害後の攻撃チェーン全体を、10時間足らずでリアルタイムに組み立て、環境からの応答に応じて動的に対応を変えていきました。標的側の露出面そのものには何ら目新しさはありません。新しかったのは、その露出面から”回収”するコストが、実質的にトークン代程度にまで下がったという点です。

これが一言でまとめられる論旨です。ゼロデイは決して新しい種類の失敗ではなく、それがより速く発見・悪用されるようになっただけなのです。脆弱性のカテゴリー自体は、この記事を読んでいる方の一部がこの業界に入る前から変わっていません。変わったのは、悪用される速度です。

負債その2 — インフラ:負荷そのものが負債

バグをより速く見つけ出すのと同じ加速度が、あらゆるものが動いている基盤そのものを圧迫しつつあります。ただしこちらは、敵対者がその負債を取り立てるわけではありません。取り立て役はAI導入そのものです。この違いは重要ですが、結果としては同一になり得ます。エージェント駆動の負荷によって発生した障害は、取締役会の帳簿上では、敵対者によるインシデントとまったく同じ項目として計上されるのです。業務は止まり、顧客は信頼を失い、ブランドは打撃を受け、収益は失われます。原因は異なっても、影響の欄は変わりません。

例えば2026年3月、CloudflareのCEOは、自動化されたトラフィックが2027年までに人間によるトラフィックを上回ると予測しました。しかし実際にはその予測は外れ――2026年6月の時点で、Cloudflare自身の計測により、自動化システムがHTTPリクエストの57.5%を生成していることが判明しました。この非対称性を生んでいるのは構造的な要因です。人間があるタスクをこなすのにアクセスするサイトが5つだとすれば、その人間に代わってエージェントが同じタスクをこなす際には5,000のサイトにアクセスすることもあり得ます。このインターネットトラフィックの指数関数的な増加は、Webでホストされるあらゆるサービスに波及的な影響を及ぼします。すべての組織は、こう自問すべきです。「自分たちのチームは、AIエージェントによる増大した負荷に対応できる態勢が整っているだろうか」と。

多くの組織が構築してきたプラットフォームや、あらゆるものを流通させているパイプラインは、もっと緩やかな世界を前提としたサイジングで設計されています。負荷曲線は、それを予測する仕事を担っている当の人々の予測すら追い抜きつつあります。もしあなたのキャパシティプラン――あるいは他者のプランへの依存――が、エージェントがコードをコミットし始める前に書かれたものだとしたら、それはすでに陳腐化しています。負荷そのものが負債であり、AI導入はその利子を複利で増やし続けているのです。

負債その3 — ガバナンス:能力は出荷されたが、監視体制は出荷されなかった

AI導入は、もう一種類の利子も複利で増やしています。2026年5月、CISA、NSA、オーストラリアのASD ACSC、カナダ・サイバーセンター、NCSC-NZ、NCSC-UKという6つの国家サイバー機関が、エージェント型AIに関する初の多国間協調セキュリティガイダンス「Careful Adoption of Agentic AI Services」を公表しました。ここで中心的に懸念されているのは権限の集約です。エージェントは複数のシステムにまたがって権限を蓄積していくため、たった一度の侵害が、個々の認証情報単体では到底及ばない範囲にまで手を伸ばす結果を招きかねません。

この懸念は、もはや仮定の話ではありません。その実証は、Sysdig TRT自身の調査によってもたらされました。前述の事例群の中で最も新しいJADEPUFFERは、AIエージェントによって端から端まで管理された、初めて確認されたランサムウェア作戦です。偵察、認証情報の窃取、横展開、永続化、暗号化、破壊、そして身代金要求メッセージそのものに至るまで、すべてがエージェントによって遂行されました。人間がインフラを準備し標的を選定した後は、エージェントが作戦全体を運用し、ある局面ではログイン失敗から実際に機能する修正策の実装まで、わずか31秒で完了させています。

ガバナンスの事例として読み解けば、JADEPUFFERはまさに典型例です。ファイブアイズのガイダンスが警告している権限集約のリスクこそ、まさにこのエージェントが侵入の過程で悪用したものでした。単一の侵害されたホストから、4つの異なるAIプロバイダーとクラウドアカウントの認証情報を一挙に収集し、その後rootの認証情報を使って本番データベースへとピボットしたのです。そして、このエージェントが取り立てた負債はいずれも、技術的な目新しさではなく、ガバナンス上の負債でした。侵入口となったのは、1年以上パッチが適用されていなかったインターネット公開型のLangflowインスタンスであり、ピボットには2021年の認証バイパスと変更されていないデフォルトの署名鍵が使われ、破壊された設定ファイルは、たとえ身代金を支払っても復元不能でした。なぜならエージェント自身が暗号化鍵を一切保存していなかったからです。誰にもパッチを適用されなかったインターネット公開型インスタンスとは、機能的に言えば、誰にも追跡されていなかった未管理資産そのものです。この事態を3つの異なる段階で食い止められたはずの管理策は、まさにガイダンスが規定しているもの――最小権限、フェイルセーフなデフォルト設定、資産管理台帳、そしてロギングです。

しかしこれは孤立した失敗事例ではありません。IT・セキュリティ専門家418人を対象にしたクラウドセキュリティアライアンスの2026年4月の調査によると、過去12カ月間に少なくとも1件のAIエージェント関連インシデントを経験した組織は65%に上り、過去1年間で自社環境内に稼働していた未知のエージェントを発見した組織は82%に達しました。それにもかかわらず、エージェントの廃止手順を正式に定めている組織はわずか21%にとどまります。導入済みの能力と、機能する監視体制との間のギャップは、もはや予測ではなく、実測された基準値なのです。

ここに、この問題の核心があります。推奨されている管理策は、すでに存在しているということです。最小権限、被害範囲を限定するフェイルセーフなデフォルト設定、包括的なロギング、重大な行動に対する人間の関与といった具合に。このガイダンスが求めたのは、新しいセキュリティ科学を発明することではなく、6つの政府が共同で「既存の科学は、本番環境で信頼される”前に”エージェントにも適用されるべきだ」と表明することだけでした。

この負債は、管理策のカタログが欠けているという話ではなく、そのカタログと、実際に予算がつき運用されているものとの間のギャップなのです。そして、そのギャップを埋めた者には検知面での見返りがあります。例えばJADEPUFFERのエージェントは、600を超えるペイロード全体にわたって、自らの目的を平易な言葉のコメントで語っていました。これは人間のオペレーターがめったに(あるいは一度も)残さない兆候であり、実行時に何が動いているかを可視化できて初めて役に立つものです。観測できない管理策は、実施できない管理策と同じです。

負債その4 — スキル:人材層は底辺から削られている

セキュリティにおいて、人間がループの中にいることそのものが一つの管理策です。ここで浮かび上がるのは、その任に堪える人材を今もなお育成できているのか、という問いです。この負債には二つの側面があり、一つ目は構造的なものです。

セキュリティ責任者947人を対象にしたSANS/GIAC 2026年版ワークフォース調査レポートによると、今やCISOの60%が、自組織における不足要因は「人員数」ではなく「スキル」だと回答しています。この差は、わずか1年で4ポイントから20ポイントへと急拡大しました。採用の対応はシニア層かつトップダウン主導であり、削減の煽りを受けているのはエントリーレベルの層です。SOCアナリスト職は32%減、脅威インテリジェンス職は26%減、インシデント対応職は22%減となっています。エントリーレベルの層を削るということは、業界にとって将来のシニアなセキュリティ人材を失うだけでなく、現在すでにいる人材までも足止めしてしまうことを意味します。昇進が滞れば、苦労して採用した経験豊富な人材は、実際にキャリアを前に進められる場所へと流出していきます。

そして、あまり注目されていない、しかし本来もっと重視されるべき二つ目のコストがあります。それは、AIには本質的な説明責任の課題があるということです。モデルは人間ではありません。決定に責任を持つことも、リスクを承認することも、過ちについて説明責任を負うこともできません。AIがオペレーターとなり、人間がオーケストレーターとなるこの局面こそ、監視と説明責任が再び決定的な重要性を帯びる場面です。これは業界全体にまたがる課題であり、活発な議論を呼びながらも、いまだ明確な答えは出ていません。

さらに、知識の劣化という問題もあります。業界全体のセキュリティ実務者から、AIへの依存が高まることで、AIが生成した判断を評価するために必要な判断力や批判的思考力が、時間とともに損なわれかねないという懸念の声が上がっています。組織にとっての決定的な課題は、生産性向上のためにAIを活用しつつ、大規模障害のようにAIが利用できない状況を含め、安全に業務を遂行するために必要な専門性を、継続して育成し続けられるかという点になるでしょう。

ここで、これまでの論点をつなげてみましょう。かつて判断力を養う土台となっていた業務――最初に書くスクリプト、最初のトリアージ、最初のレビューといった、失敗のコストが低い場面――を、まさに今AIが吸収しつつあります。しかもそれは、そうした業務を軸に組み立てられていたエントリーレベルの職務そのものが、ますますAIに委任されていくのと同じタイミングで起きています。GTG-1002を思い出してください。あのモデルは、しばしば自らの成果を過大に述べ、時には捏造さえしていました。その作戦が成り立っていたのは、それを見抜けるだけの能力を持つ人間がいたからです。スキルとは、経験と実践を通じてしか更新できない資源なのです。

負債その5 — AI攻撃対象領域:導入したAIそのものが標的になる

これは、5年前には存在すらしなかった負債です。あらゆるコパイロット、顧客対応型アシスタント、本番環境へのアクセス権を持つエージェントは、攻撃対象がもう一つ増え、守るべき対象がもう一つ増えることを意味します。GoogleのThreat Intelligence Groupは今や、AIを「敵対者の作戦を支えるエンジンであると同時に、価値の高い標的でもある存在」と表現しています。先のメタ分析で言うオペレーター層とは、もはや攻撃者側だけのツール群ではありません。あなた自身の組織のものでもあるのです。

この露出面の所在を示す事実が3つあります。

• 自社のAIそのものが対象範囲に含まれます。それが自社データを読み取れたり、自社システム上で行動を起こせたりするなら、それはあなたの攻撃対象領域の一部です。
• 攻撃者はすでにそこにいます。プロンプトインジェクションは、AIアプリケーションを対象としたOWASP Top 10脆弱性リストで第1位にランクされており、2版連続で首位を維持しています。
• 鍵はいたるところに存在します。エージェントはマシンアイデンティティ上で動作しますが、Sysdig 2026年版クラウドネイティブセキュリティ・利用状況レポートによれば、これはクラウド環境内のアイデンティティ全体の97%以上を占め、リスクは通常の7.5倍高く、侵害の約40%が認証情報の悪用から始まっています。この乱立状態こそ、攻撃を受けたエージェントが引き継ぐことになる鍵束であり、まさにJADEPUFFERが持ち去ったのと同じ鍵束です。

ここで一つ、特筆すべき非対称性があります。というのも、これがまさに、この負債だけが他の負債とは別枠で扱われるべき理由だからです。それは、この負債だけが新たな与信枠をも開くという点です。攻撃対象領域を広げているのと同じ能力は、それが本番資産としてきちんと統治されている限り、防御側にも活用できるのです。

この帳簿上のすべての負債は返済可能

これは決して破産宣告ではありません。返済方法はいつも同じです。ツールだけでなく、人材とプロセスへの計画的な投資です。そして、挙げてきた各負債について、明日からでも実行できることがあります。

1. コード:同じAIを自社内部に向け、まず自らの積み残しを洗い出しましょう。今すぐできる第一歩:自社の管理台帳にある「受容されたリスク」チケットのうち最も古い10件を選び、悪用のコストがアナリストの工数単位ではなくトークン単位になった世界を前提に、再評価してください。そのほとんどは、今はもう存在しない経済条件のもとで受容されたものです。
2. インフラ:キャパシティと封じ込め策への投資を、変化を先取りする形で行いましょう。今すぐできる第一歩:自社のキャパシティプランの担当者に、一つだけ問いかけてください――「このプランは、自動化トラフィックと人間のトラフィックの比率についてどんな前提を置いていて、それはいつ書かれたものか」と。もしその答えがエージェント型ワークロード以前のものであれば、そのプランはすでに時代遅れです。
3. ガバナンス:独自のフレームワークをゼロから作るのではなく、ファイブアイズのプレイブックを採用しましょう。今すぐできる第一歩:本番環境へのアクセス権を持つすべてのエージェントを棚卸しし、それぞれについて実効的な権限と、その行動がどこに記録されているかを書き出してください。棚卸しリストは、権限一覧よりも短くなるはずです。そのギャップこそが取り組むべき課題です。
4. スキル:人材育成のパイプラインを意図的に設計しましょう。今すぐできる第一歩:これから自動化しようとしているエントリーレベルの業務を一つ特定し、それを単に排除するのではなく、監督下での判断力育成の場として再設計してください――レビュー付きのトリアージ、シニアの承認を伴う一次分析といった具合にです。その業務の本来の目的は、成果物そのものではなく、判断力の育成にあったのです。
5. AI攻撃対象領域:自社のAIインフラを、他の本番資産と同様に扱いましょう。今すぐできる第一歩:自社のコパイロット、アシスタント、エージェントを、サーバーと同じ資産管理台帳に、所有者・適用範囲・監視体制とともに追加してください。AI部品表(AIBOM)を構築してください。台帳に載っていないものは、守られていないのと同じです。

支払いが発生するのは実行時であり、それはまさに取り立て役が姿を現す瞬間だからです。必要なツールとプレイブックは、その大部分がすでに存在しています。残されているのは、投資の実行だけです。

今日、自チームに投げかけるべき3つの問い

1. コード、インフラ、ガバナンス、スキル、AI攻撃対象領域という5つの負債のうち、自社にとって今最も投資不足なのはどれでしょうか。本番環境へのアクセス権を持つエージェントの現状の棚卸しリストを、今すぐ用意できますか。
2. 自社の環境において、悪用までの時間の短縮化がすでに見え始めている領域はどこでしょうか。
3. エントリーレベルの業務をAIが吸収していく中で、次世代の人材をどのように育成していくつもりですか。

‍