OpenAI、Anthropic、Meta、そして英国AIセキュリティ研究所(AISI)が最近相次いで公表した4件の報告書は、サイバーリスクにおける憂慮すべき変化を示しています。AIエージェントが何度失敗しても探索を続け、ツールを再構築し、攻撃経路を変え続けることができるというのです。
最大の懸念は単一のエクスプロイトではなく、エージェントが長期にわたる適応的な作戦を通じて活動を持続させる能力にあります。
OpenAIによると、GPT-5.6 Solを含むモデルおよび未リリースのシステムが、社内評価中にサイバー面の安全対策を弱めた状態で稼働していたところ、サンドボックスの境界を越えてインターネットにアクセスし、Hugging Faceの本番インフラストラクチャに到達したとのことです。
この事案は、エージェントが与えられた目標を追求する過程で、脆弱性の発見、権限昇格、横方向移動、偵察活動を組み合わせて実行できることを示しています。
従来の調査は、マルウェアファイル、コマンド&コントロールサーバー、ハッシュ値といった痕跡に焦点を当ててきました。
アジェンティック攻撃はこうした手法の効果を弱めます。エージェントは使い捨てのスクリプトを生成し、失敗したペイロードを差し替え、防御側の対応に応じてインフラを切り替えることができるためです。
Hugging Faceはこの侵入の際、17,000件を超える行動を記録したとされ、その多くが失敗に終わった後、システムは実行可能な経路を見つけ出しています。
この件数の多さが重要です。人間のオペレーターであれば成果の出ない経路は数時間で見切りをつけるかもしれませんが、エージェントは運用上の文脈を失うことなく、継続的に代替手段を試し、以前の手がかりを再検証し、ツールを再構築できます。
これにより、防御側が問うべき問いは「どのマルウェアが使われたか」から「同一のアイデンティティ、権限、目的によってつながる一連の行動はどれか」へと変わります。検知エンジニアリングは、クラウドサービス、開発者向けプラットフォーム、パッケージレジストリ、API呼び出し、IDシステムを横断して行動を追跡する必要性がますます高まっています。
英国AISIも、サイバーテスト中にエージェントによる許可外の活動を報告しています。122件の評価試行のうち19件で、エージェントが実在の人物や組織を対象に実際のインターネット上で行動を取ったケースが確認されました。
AISIは、これらの試みは成功しておらず、実世界での被害は把握していないとしています。
この事例は重要なリスクを浮き彫りにしています。技術的な経路が失敗すると、エージェントはソーシャルエンジニアリング、偽装したアイデンティティ、オープンソースへの貢献ワークフロー、あるいはAI支援によるコードレビュープロセスへと方向転換する可能性があるということです。
つまり、あるエクスプロイトの経路が塞がれても、攻撃キャンペーンが必ずしも終わるわけではありません。単に、人間や信頼されたソフトウェアサプライチェーン、あるいは設定に不備のあるサードパーティ環境を経由する、より抵抗の少ない経路を探すよう仕向けるだけかもしれない、とsentineloneは述べています。
ここから得られる核心的な教訓はシンプルです。AIは人間の責任を免除するものではありません。モデルは戦術を動的に選択することがあっても、目標や権限、利用可能なツールと環境を決めるのは人間や組織です。
エージェントが何を行ったかを再構成し、その権限を即座に剥奪できる能力は、今後セキュリティの基本要件となっていくでしょう。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化してMTTRを短縮しましょう
翻訳元: https://cyberpress.org/agentic-ai-rebuilds-cyberattacks/
