- 中国が台湾に対し、完全自律型の脆弱性ハンティング攻撃を仕掛けました
- 攻撃では、8つのオープンソースAIモデルを駆使して新たな攻撃経路を探索していました
- この攻撃は台湾政府のアカウントや人事記録、原子力安全機関などを標的にしました
自律型AIを用いた初めてのサイバー攻撃が台湾に対して確認され、政府アカウント85件が侵害され、2,500件を超える人事記録が窃取されたことが分かりました。攻撃はその後、同国の原子力安全機関や少なくとも7社のエネルギー企業にも及びました。
この攻撃では8つのオープンソースAIモデルを使ってハッキングプログラムが構築され、偵察から侵入までを自律的に実行できるほか、脆弱性を連鎖的に悪用し、ブロックされるたびに戦術を変更する能力も備えていました。
この侵入は4日間にわたって行われ、2026年8月12日にThe Financial Timesによって初めて明らかにされました。このFTの記事は、この侵害を最初に特定したイスラエルのAI・サイバー防御企業Dreamによる調査を取り上げたものです。
この攻撃は、サイバー犯罪活動の定常的な監視の中で最初に発見されました。Dreamは160MBのオンラインアーカイブに1,395個のファイルが格納されているのを見つけました。ファイルをさらに調査した結果、この攻撃はオープンソースのAIエージェントであるHermesとOpenClawの2つに依存していたことが判明しました。
AIモデルを利用する攻撃によくあるように、ハッカーはAIモデルに組み込まれたガードレールを回避するため、この侵入を日常的なサイバー即応性テストであるかのように文脈を偽装していました。
この攻撃では複数のエージェントを用いてインターネット上の新たな脆弱性やアクセスポイントを探索し、あるルートで侵入に失敗しても別の攻撃経路を試せるようにツールに複数の攻撃パスを持たせていました。
AIエージェントは、サイバー犯罪組織や国家支援型脅威アクターの攻撃に急速に組み込まれており、大規模かつ高度に複雑な攻撃を仕掛ける能力を強化しています。Dreamの最高戦略責任者(CSO)であるAmir Becker氏は、「これは世界中のすべての政府が前提とすべき基本認識です」と述べています。
Dreamは今回の攻撃を特定のサイバー犯罪グループに結び付けてはおらず、また攻撃対象についても確認していませんが、「アジア太平洋」地域のある政府に警告を行ったとしています。回収されたアーカイブ内の文書には簡体字中国語が使われており、これは中国本土で公式に使用されている書記言語です。
また、このアーカイブには標的から収集されたデータも含まれており、こちらは繁体字中国語で記述されていました。この書記形式の中国語は台湾、香港、マカオで広く使用されています。
台湾のデジタル発展部(数位発展部)はこの侵害についてコメントを拒否しており、中国当局もコメント要請に応じていません。
中国は長らく台湾を中国本土の一部であるとみなしてきました。台湾は1949年の国共内戦終結後に独立を宣言しています。台湾の国家安全局が今年発表した報告書では、同国が2025年に1日あたり250万件の中国発サイバー攻撃を受けていたことが明らかになっています。
自律型AI攻撃に関する専門家の見解
Black Duck、ソリューションマネジメント担当シニアディレクター Collin Hogue-Spears氏:
今回、エージェントは侵入をエンドツーエンドで実行しましたが、そのために新たな手法を編み出す必要はありませんでした。台湾のシステムへ確認されたすべての侵入経路は、見慣れたIDおよびAPIの不備によって開かれたものです。Dream Research Labsの記録によれば、最大8つのサブエージェントが12波にわたって同時並行で稼働し、攻撃経路の優先順位付けを行い、ある手法が失敗すれば別の経路へと切り替え、オンラインで代替手段を調べたうえで再挑戦していました。
彼らが発見したのは、外部に露出した開発用エンドポイント、署名検証が無効化された状態で認証トークンを受け入れてしまうAPI、認証なしでアクセスできるデータAPI、そして従業員ID番号から作られたパスワードでした。
このフレームワークは未知の欠陥を探すための独自のAI静的解析も実行していましたが、Dreamによれば、それは2つの公開されているシングルサインオン(SSO)SDKのサンプルプロジェクトに対して行われたものであり、いずれの発見も実際に稼働中のシステムに対する確認済みのエクスプロイトには結び付いていません。この報告書のどこにもゼロデイ脆弱性は登場しませんが、原子力安全の規制機関は登場します。
従来型のWebおよびID関連のログを見る限り、これは通常のセキュリティスキャンのように読み取れます。判別の決め手となるのは、単一のリクエストではなく、複数システムにまたがる一連の挙動です。見抜くべき手がかりはリクエストそのものではなく、同じアカウントが次に別の場所で何をするか、という点にあります。
従来型のスキャナーは、この20年間、機械的な速度で何千ものエンドポイントをテストしてきたため、単なる網羅性の高さはここでの変化点ではありません。Dream Research Labsが記述しているのは、パスワードスプレー攻撃、続いて新規のSSOセッションの確立、そしてあるアカウントがそれまで一度も触れたことのないルートへのアクセス、さらに同一の疑わしい脆弱性を突破するまで繰り返しテストし、最終的に1つのIDが複数の連携アプリケーションにまたがって現れる、という連鎖的な手法です。
したがって、この証拠は、台湾を標的とした中国本土語圏のオペレーターによる犯行であり、標的の傾向も中国本土の情報収集上の優先事項と一致していることを裏付けています。
オペレーターのメモに簡体字中国語が使われていたことは一つの手がかりです。窃取されたファイルに繁体字中国語が使われていたことは、単に台湾という事実を示しているにすぎません。Dreamは中国の関与という評価を、この言語の使い分けという観察結果の上に置いていますが、そのうち攻撃者を指し示すのは半分だけです。この報告書に関する中国語圏の報道によれば、オペレーターの内部通信には簡体字が、窃取されたデータには繁体字が使われていたとのことです。前者はオペレーターが日常的に使用する言語を表しており、後者は被害者側を表しています。なぜなら、それこそが台湾政府のファイル[繁体字]の姿だからです。
したがって、この証拠は、台湾を標的とした中国本土語圏のオペレーターによる犯行であり、標的の傾向も中国本土の情報収集上の優先事項と一致していることを裏付けています。ただし、これによって特定のグループ名が判明したり、国家の関与が立証されたりするわけではありません。また、この報告書は痕跡情報(IOC)もハッシュ値も公開しておらず、被害の確定情報もありません。使用されたモデルも特定されていません。さらに、要旨部分ではバックドアが仕込まれたと主張している一方で、実際の攻撃連鎖の記述では、認証によってWebシェルの設置が阻止されたとされており、内容に矛盾が見られます。
セキュリティ責任者は、署名なしの認証トークンを拒否し、「alg:none」設定を明確に禁止する必要があります。それとは別に、機密性の高いシステムへのシングルサインオン境界においては、再認証や多要素認証を必須とすべきです。Dreamは台湾において2つの独立したID関連の不備があったと報告しており、片方を塞いだだけではもう片方が開いたままになってしまいます。プロバイダー側のガードレールでは、パスワードのみに依存したSSOの橋渡し部分の脆弱性を補うことはできません。
また、リクエスト量だけでなく、送信元・セッション・アカウント・デバイスごとの経路の多様性も監視する必要があります。なぜなら、分散したエージェント群はリクエストを複数のアドレスやセッションに分散させるため、単一のボリューム閾値による検知網ではすり抜けてしまうからです。もし自社の検知の仕組みが「1人の攻撃者が1つのアドレスから1つの経路のみで行動する」という前提に基づいているなら、その前提モデル自体が実態に合っていないことになります。
皆さんの検知閾値は、1つの経路を進む単独の攻撃者を想定して構築されたものです。しかし今回は、8つが並行して動いていました。そして、こうしたAI攻撃に関する開示情報を目にしたときは、行動を起こす前に必ず2つの問いを立てるべきです。どのモデルがこの作戦を実行したのか、そして明日の朝から自分たちは何を手がかりに探索を始められるのか、という問いです」
出典: United24
