中国の関与が疑われるサイバー工作員が、一般公開されているAIツールを使って台湾政府のシステムを侵害した後、原子力安全機関やサプライチェーンのベンダー、さらには少なくとも7社のエネルギー企業へと攻撃対象を拡大していたことが分かりました。セキュリティ研究者らはこれを「ほぼ自律的な攻撃」と呼んでいます。
イスラエルのサイバーセキュリティ企業Dreamによると、7月の最初の4日間で、AIエージェントは政府機関のユーザーアカウント85件を侵害し、2,500件を超える人事記録を窃取したとされています。研究者らは、この作戦を記録した1,395個のファイルを含む160MBのオンラインアーカイブから、攻撃の証拠を発見しました。
Dreamは水曜日に公開した調査結果の中でこの侵入について詳細を明らかにし、中国の関与が疑われるハッカーが「アジアの政府機関」を狙ったと述べていますが、どの国の政府が攻撃対象になったのかについては明言を避けています。
この攻撃について事情に詳しい人物は、The Registerに対し、標的が台湾であったことを認めました。
Financial Timesが最初にDreamの調査結果を報じ、台湾が標的であったことを特定していました。
このセキュリティ企業は、今回のエージェント型攻撃を中国政府や特定のハッキング集団によるものと断定してはいませんが、作戦に関する記録文書は「中国語話者のオペレーターを示唆している」と研究者らは述べています。
Dreamによると、この攻撃フレームワークはオープンソースのHermesおよびOpenClawのAIエージェントを基盤に構築されており、7月1日から7月4日までの間に、12回の「攻撃波」にわたって最大8体のサブエージェントを展開しました。各サブエージェントには、それぞれ固有の標的と攻撃手法が割り当てられていました。
まずエージェントは政府のエコシステム全体をマッピングし、単一の政府ポータルから埋め込まれたURL、APIエンドポイント、OAuthクライアントID、Keycloakの設定オブジェクトを抽出しました。このポータルを足がかりに、エージェントは連携する21の政府システムと、対応する全ての認証フローを特定できました。
「この標的1つだけで、アカウント管理、ユーザーデータの取得、ファイルアップロード、管理機能にまたがる36以上のAPIエンドポイントを発見しました。その多くは完全に認証を経ずにアクセス可能な状態でした」とDreamの脅威研究者らは記しています。「特に重大だったのは、あるシステムがユーザーデータベース全体を認証なしで公開していたことです。氏名、部署、SSOアカウントIDを含む数千件の従業員記録が含まれていました」
複数の侵入口
政府の攻撃対象領域をマッピングした後、エージェントは複数の侵入口を発見しました。その中には、任意のリクエストボディを受け入れ、ユーザー認証情報を必要とせずに有効な認証済みセッションを返す、隠れたAPIエンドポイント3つも含まれていました。
エージェントは、認証を経ていないAPIから収集した職員のユーザー名を使い、ある政府部門のオフィスオートメーションポータルに侵入し、CAPTCHAを100%の精度で突破しました。エージェントはさらに、各職員のIDに基づく予測可能なパスワードパターンも試行し、複数回のパスワードスプレー攻撃を通じて85件のアカウントの突破に成功しました。
突破された85件のアカウントのうち84件が、当該政府部門の内部情報システムへの認証に成功し、攻撃者は内部ダッシュボード、機器管理インターフェース、人事統計ページへのアクセス権を得ました。
この不正アクセスにより、エージェントは合計で膨大な量の政府情報を窃取しました。その内訳は、2,564件を超える人事記録、部門システムの全ユーザーを網羅したJSON形式のフルエクスポート、SSOクライアントシークレット7件、MSSQL・Oracle・Sybaseにまたがる内部データベースの認証情報6件、そして内部ネットワークのIPアドレス範囲です。
それだけでは終わらない
その後、エージェントは台湾政府のサプライチェーンへと標的を移しました。
「作戦は政府ITサプライチェーンのベンダー、原子力安全機関、政府のメールシステム、そして7社以上のエネルギー分野の企業にまで拡大しました。これらすべてを並行してスキャンし、設定不備、公開された管理者インターフェース、悪用可能な脆弱性を探し出していました」と研究者らは記しています。
注目すべき点として、この攻撃フレームワークはAIツール自身が「学習サイクル」と呼ぶ機能を実装していました。これは、モデルが脆弱性データベースやGitHubリポジトリ、その他のセキュリティ研究情報を自律的に検索し、標的とする政府のインフラを悪用するための具体的な手法やCVE、既知の脆弱性を探索するセッションです。
さらに、Dreamによると、このAIフレームワークはミスを犯した際に「自己修正」を行い、独自の検証プロセスを通じてエラーを検知し修正していたとのことです。
このほぼ自律的な攻撃が明らかになったのは、最先端AIモデルを手がけるOpenAI、Anthropic、Meta各社がそろって、自社のエージェントが暴走したことや、訓練環境から抜け出したこと、他の組織や個人を自律的にハッキングしたことを認めた直後のことでした。
OpenAIのテクニカルスタッフであるMichael Dalton氏は、先週のBlack HatにおけるHugging Face攻撃に関するブリーフィングで、「AIが指揮する、完全自動化された攻撃的な作戦はもはや現実のものです」と述べました。
同氏はさらに、「近い将来、脅威アクターが意図的に、ここで説明したような攻撃的なエージェント集団を展開し、最適化し、兵器化し、実際に使用するようになると想定すべきです」と付け加えました。
その未来は、すでに到来しているようです。®
