中国系の脅威アクターが、マルチエージェント人工知能フレームワークを利用し、台湾およびアジア各国の政府機関を標的としたほぼ自律的な侵入キャンペーンを展開していたことが報告されました。
この事案は、エージェント型AIが高度なサイバー攻撃の運用コストを削減し、実行速度を高める可能性を示すものです。
Dream Research Labsの調査によると、この攻撃は2026年7月1日から7月4日にかけて実施され、AIエージェントが1,395個の攻撃用ファイルを生成し、85件の従業員アカウントを侵害、数千件に及ぶ人事記録を窃取したうえで、国家関連インフラへの持続的なアクセスを確立したとされています。
中国系ハッカー集団、台湾政府システムに侵入
このフレームワークは、HermesとOpenClawという2つのエージェントプラットフォームを組み合わせ、各攻撃波で最大8つのサブエージェントを同時に連携させていたと報告されています。
AからQまでラベル付けされた個々のエージェントは、合計12回の攻撃波にわたって記録されており、偵察、API列挙、認証情報攻撃、脆弱性検証、水平移動、サプライチェーン標的化といった特定の役割を割り当てられていました。
Vulnerabilityassessment service
このフレームワークは単純なチャットボットや従来型の自動スキャナーとは異なり、計画立案のループ、永続的な運用メモリ、並列タスク実行、体系化された事後報告といった仕組みを備え、キャンペーン全体を通じて戦略を適応させていたとみられています。
初期偵察はまず、Angularベースの政府ポータルからJavaScriptバンドルを自動収集・逆コンパイルすることから始まりました。
エージェントはURL、APIエンドポイント、OAuthクライアント識別子、Keycloak設定オブジェクトを抽出し、最終的に21の連携する政府システムと、それらを束ねる国家シングルサインオン(SSO)アーキテクチャ全体をマッピングしました。
研究者によると、この攻撃活動では複数の未認証APIが特定されており、その一つは氏名、部署、シングルサインオンのアカウント識別子を含む大規模な従業員データベースを外部に露出させていました。
その後、攻撃は複数の並行するアクセス経路を通じて拡大していきました。エージェントは、正規の認証情報がなくても認証済みセッションを返す、公開状態にあった開発者向けバックドアのエンドポイントを発見したとされています。
また、収集した多数のユーザー名を用いて、オフィスオートメーションポータルに対してパスワードスプレー攻撃も試みました。CAPTCHAによる防御は、Tesseract光学文字認識(OCR)を用いて突破されたと報告されています。
これと並行して、このフレームワークは従業員識別子に基づく予測可能なパスワードパターンも試行しており、この手法によって85件のアカウントが侵害されました。
さらに別の認証上の脆弱性により、トークンのアルゴリズムを「none」に設定することで偽造JSON Web Token(JWT)を生成することが可能となり、有効な署名鍵を必要とせずに認証を突破できる状態になっていました。
侵害された認証情報は、迅速な水平移動を可能にしました。報告書によると、侵害された85件のアカウントのうち84件が、信頼されたシングルサインオンの連携経路を通じて政府内部の情報システムへの認証に成功しており、成功率は98.8パーセントに達しています。
エージェントは、制限のないアップロード機能を悪用してWebシェルを設置することも試みました。このアップロード自体は成功したものの、二次的なフォーム認証層によって実行が阻止されたと報告されており、このフレームワークが部分的な成功と完全な侵害とを区別できていたことがうかがえます。
この攻撃活動の重要な特徴の一つが、個々の脆弱性と複数段階にわたる攻撃チェーンの双方を評価するベイズ意思決定エンジンです。検出結果には、スキャン結果、手動検証、影響度評価、防御上の制約条件に基づいて事後確率が割り当てられ、確度の高い検出結果のみが実際の攻撃に採用されました。
Vulnerabilityassessment service
このシステムはまた、攻撃経路で障害に直面した際には、公開されている脆弱性データベースやGitHubリポジトリ、セキュリティ関連の公開情報を調査する「学習サイクル(Learning Cycles)」と呼ばれる仕組みも活用していました。
今回の報告書で最も懸念すべき点は、単一の欠陥そのものではなく、エージェント型システムが自ら誤りを修正しながら大規模に活動を展開できるとみられる能力です。
このフレームワークは繰り返しテストを行った結果、7件の誤検知を破棄したとされ、その中にはSQLインジェクションと当初推定されたものの、後にSMTPのタイムアウトであると判明した事例も含まれていました。
防御側にとって今回の事案が示す教訓は、公開状態にあるデバッグインターフェースの排除、多要素認証(MFA)の徹底、レート制限の導入、APIの保護強化、署名のないJWTの拒否、シングルサインオンにおける信頼関係の監視、そしてAIによる攻撃自動化を将来的なリスクではなく、今まさに存在する運用上の脅威として扱う必要性です。
フィッシングやマルウェアが貴社を侵害する前に食い止めましょう。 世界15,000のSOCが利用するライブインテリジェンスを統合
翻訳元: https://gbhackers.com/china-linked-hackers-breach-taiwan-government-systems/
