オープンソースAIフレームワークを用いたマルチエージェント攻撃が、4日間にわたる協調的な侵入を実行しました。
オープンソースフレームワーク上に構築された自律型AIエージェントが台湾の政府системに侵入し、認証情報を窃取したうえ、原子力安全機関を探索する数日間にわたるサイバー攻撃を実行しました。研究者らはこの事案を、AIを活用した攻撃活動の新たな局面を示すものだと指摘しています。
サイバーセキュリティ企業Dreamが公開した調査によると、この攻撃キャンペーンは7月上旬の4日間にわたって展開され、その間に複数のAIエージェントが並行して稼働し、ネットワークのマッピング、脆弱性の特定、そして相互接続されたシステム全体にわたる侵入手順の実行を行いました。
Dreamはブログ記事の中で次のように述べています。「およそ4日間で、このエージェント型攻撃者は1,395個のファイルを生成し、85件の認証情報を解読、数千件の人事記録を窃取したうえ、国家インフラ内部に持続的な足場を確保しました。これは一つの事実を雄弁に物語っています。それは、有効な攻撃を実行するコストが崩壊的に低下した一方で、それを防御するコストは下がっていないということです」
Dreamはこの活動を「ほぼ自律的な攻撃」と表現し、「AIを活用した攻撃的作戦は今、転換点を迎えている」と付け加えました。
台湾との関連が浮上、政府がAI支援攻撃を確認
Dreamは被害を受けた国を特定していませんが、「アジアの政府機関」であるとしています。一方、Reutersの報道によると、台湾のデジタル発展部（デジタル担当省）は同時期に政府機関を標的とした「AIエージェント支援型」のサイバー攻撃を検知したとしており、この活動にはOpenClawなどAI駆動型ツールが関与していたと報じられています。
台湾デジタル発展部の当局者の発言を引用する形で、同報道は「関連する攻撃元、手口、影響範囲についてはすべて調査が完了しており、被害を受けた各機関は順次対応を終えている」と伝えています。ただし、DreamおよびTaiwan当局のいずれも、両者の関連性を明確には認めていません。
CSOの取材に対し、Dreamの広報担当者は標的や攻撃者の身元についてコメントを控え、同社の調査では対象組織のシステムに対する確証を得た侵害の証拠は見つかっていないと述べました。「標的や攻撃者の身元についてはコメントできません。当社のレポートは、分析時点でのフレームワークについて記述したものです」とのことです。
さらに同社は、最初のブログ記事の公開以降、このフレームワーク内でDeepSeek-V4-Flashモデルが使用されていたことを示す証拠を確認したと明らかにしています。同広報担当者は「それが唯一使用されたモデルであったかどうかは分かりません」と述べています。
台湾政府はコメント要請に対し、即座には返答していません。
マルチエージェントシステムが協調的な攻撃波を実行
研究者らによると、この攻撃フレームワークはHermesおよびOpenClawの各エージェント上に構築されており、複数のサブエージェントを同時に展開し、それぞれを一連の攻撃波にわたって特定の標的やタスクに割り当てていました。
12波に及ぶ攻撃の中で、各エージェントは偵察、認証情報への攻撃、脆弱性の悪用を並行して実行し、そこには計画立案のループとフィードバック機構が組み込まれていました。
これにより、このシステムは単に「侵入について質問に答える」のではなく、「侵入キャンペーンそのものを実行する」ことが可能になったと研究者らは記しています。
SilverfortでThreat Hunting and Incident Response部門を率いるColin Ferris氏は、複数のエージェントが並行して稼働するという手法は、こうしたシステムがタスクを分担し、リアルタイムで適応できることを反映していると指摘します。
Ferris氏は「AIがサイバーセキュリティにもたらす影響は、安価なドローンが従来型の戦争にもたらした影響と同様です」と述べ、攻撃者は「まだ修正されていない隙を継続的に見つけ出し、悪用するために、安価なAIエージェントを一握り投入できる」ようになっていると付け加えました。
アイデンティティ管理システムとAPIが初期侵入口に
このブログ記事によると、攻撃キャンペーンは自動化された偵察から始まり、その過程でシステムは一般に公開されているコードからAPIエンドポイントや認証設定情報を抽出することで、政府のインフラをマッピングしていきました。
研究者らによれば、このフレームワークはユーザーデータを露出させる未認証のAPIを特定し、ある事例ではユーザーデータベース全体が認証なしでアクセス可能な状態になっていることも突き止めました。
さらに、このシステムは隠された認証エンドポイントの悪用、認証情報への攻撃、トークン検証機構の回避など、複数の手法を組み合わせてアクセス権を獲得したとしています。
窃取したアカウントは、シングルサインオン連携を通じて、接続された他のシステムへの横展開に利用されました。
サイバーセキュリティ企業Semgrepのセキュリティアドボケートを務めるCris Thomas氏は、ここで説明されている手法自体は目新しいものではないものの、AIによってその実行方法が変わりつつあると指摘します。
Thomas氏は「これは、AIが単なる一つの道具に過ぎないことを示しています。防御側も攻撃側も同様に利用できる道具です」と述べ、「攻撃者は攻撃を仕掛けるものであり、ハーネスやその他の制限を回避する方法を見つけ出すでしょう」と付け加えました。
サプライチェーンや重要インフラ部門へと拡大するキャンペーン
研究者らによると、この攻撃活動は当初の標的にとどまらず、サプライチェーンのパートナー企業、政府のメールシステム、エネルギー分野の組織にまで及びました。
さらに、このキャンペーンは原子力安全関連の組織にまで到達したとされていますが、報告書では対象国や実際に得られたアクセス権限のレベルは明らかにされていません。
Ferris氏は、こうしたキャンペーンは攻撃者が広く入手可能なツールを使って作戦を拡大できることを浮き彫りにしていると指摘し、システムが「標的を調査し、役割を分担し、行く手を阻まれた際には戦術を変更できる」ことに言及しました。
サイバー作戦における自律型AIへの懸念が拡大
AI開発企業各社が最近開示した内容も、同様のリスクを指摘しています。OpenAIは最近、高度なモデルが自律的に脆弱性を特定・悪用する可能性を排除できないと述べており、Anthropicはテスト中にAIエージェントが外部システムへのアクセスを試みた事例を報告しています。
研究者らによると、今回のキャンペーンでは、この活動を正規の承認されたテストであるかのように装うことで、AIの挙動を制限するために設けられた安全対策を回避していました。また、言語分析からは、このキャンペーンが「中国語を使用する攻撃者」によって実行された可能性が示唆されているとしていますが、報告書は特定の集団や国家への帰属認定は行っていません。
Gyana Swain氏は、通信・IT分野の取材を20年以上手がけてきたベテランのテクノロジージャーナリストです。VARINDIAのコンサルティングエディターを務めるほか、キャリア初期にはCyberMedia、PTI、9dot9 Media、Dennis Publishingで編集職を歴任しました。著書2冊を持ち、業界への深い洞察と物語性を兼ね備えた文章を得意としています。仕事を離れると、熱心な旅行者でありクリケット愛好家でもあります。Utkal大学で学士号(B.S.)を取得しました。
