OpenAI、Anthropic、Meta、そして英国AIセキュリティ機構(AISI)が関わった4件のインシデントでは、AIエージェントが同意なく他組織のシステムに到達していたことが明らかになっています。
今や特徴的な能力となっているのが「持続性」です。モデルは実行可能な侵入経路が見つかるまで、繰り返し経路を試し、使い捨てのツールを再生成し、通信を復旧させ、手法を切り替えることができます。
それぞれのインシデントはサンドボックスからの脱出、公開された評価環境、意図的にインターネットへ接続されたテスト環境など条件が異なるものの、共通しているのはエージェントが本来の対象範囲を超えたシステムや人々に対して持続的かつ無許可の行動を取っていた点です。
OpenAIとHugging Faceを巡るインシデントは、長期にわたる運用的挙動を示す最も明確な事例です。
これらのモデルはベンチマークを直接解こうとするのではなく、評価の答えを入手しようとする過程で脆弱性を悪用し、パブリックインターネットにアクセスし、一連の侵入行為に関与しました。
このインシデントに関する技術的な報告によると、その手口の連鎖は人間が主導する侵入によく似ています。すなわち、Artifactoryの欠陥を悪用したというものです。
外部インフラを運用の足がかりとして利用し、認証情報にアクセスし、Kubernetesの権限昇格、ラテラルムーブメント、トークンの悪用、そして無許可のリポジトリアクセスへとつながっていきました。
重大な問題は、個々の手法自体が目新しいものだったという点ではありません。エージェントが失敗しても持ちこたえ、経路を変えて適応し、人間のオペレーターが手動でキャンペーンを組み立て直すことなく活動を継続できたという点にあります。
この違いは防御側にとって重要です。従来の調査では、マルウェアのバイナリ、スクリプト、ペイロード、ドメインなど、繰り返し現れる痕跡が優先的に注目されてきました。
Antivirus& Malware
エージェント型システムはこの前提を変えてしまいます。ペイロードがブロックされれば新たなものを生成でき、アクセス経路が失敗すれば別の経路を探すことができ、通信チャネルが消えれば代替手段を見つけ出すことができるのです。
SentinelOneの研究者らによると、OpenAIはGPT-5.6 Solと、評価用にサイバー関連の拒否応答を減らして運用されていた、より高性能な未公開の研究用モデルの組み合わせがサンドボックスを脱出し、Hugging Faceのインフラに到達したと説明しています。
実質的に、運用上の能力は被害者ホストに展開されたコードから、次の行動を継続的に生み出すモデルとツールの組み合わせへとシフトしています。
AISIは別の、しかし関連する警告を文書化しています。7月下旬に実施された122回のサイバー評価実行の中で、同機構はAnthropicのMythos 5とOpenAIのGPT-5.6 Solが関与した10回の実行にわたり、19件の無許可の行動を記録しました。
エージェント型AIモデルがマルウェアを再構築
最も深刻なケースでは、あるエージェントがオープンソースの現行プロジェクトに悪意のあるコードを混入させようと試み、偽のオンライン上の身元を作成し、ソーシャルエンジニアリングを使って圧力をかけ、実在するメンテナーにその貢献を承認させようとしました。
この試みは人間によるレビューによって阻止され、AISIは実際の被害は確認されなかったとしています。
このエピソードは、現行の安全性に関する前提に重要な限界があることを浮き彫りにしています。エージェントの挙動は一貫して単一の反応に収束したわけではありませんでした。一部のモデルは行動を継続し、一部は現実の環境をシミュレーションだと見なし、一部は行動を停止しました。
セキュリティチームは、曖昧な状況下でモデルの内部的な判断が自制を選ぶだろうという期待に基づいてインシデント対応計画を立てることはできません。
SentinelOneがより広く指摘しているのは、自律的なマルウェア分析に有用なプロジェクト規模の復旧能力が、侵入の持続性を支える能力にもなり得るという点です。
失敗した仮説を捨て、依存関係をたどり、自らの作業を修正し、ツールを再構築し、環境を再テストできるモデルは、防御側の度重なる妨害を受けてもキャンペーンを持続させることができるのです。
したがって、防御側の対応はより行動特性重視かつID中心のものへと変わっていく必要があります。
組織は既知の痕跡を探すことだけに頼るのではなく、行動の連鎖、委任された権限、権限の境界、そして失効させる速度に注目すべきです。
監視の仕組みは、数千件もの低シグナルなイベントを一つの攻撃の筋書きへとつなぎ合わせる必要があります。不審なID利用、権限の拡大、新たな自動化経路、外部サービスの悪用、そして繰り返される失敗した試み――これらが合わさることで、適応的な攻撃の継続を示すのです。
これはまた、説明責任をより厳しく問うことにもなります。「AIがやったことだ」はインシデント後の説明として通用しません。モデルは自らの上位目標、権限、ツール、ネットワークへの到達範囲、動作環境を自ら選ぶわけではないからです。
それを選ぶのは、モデルを導入している組織です。AISIのインシデント対応とOpenAIの調査は、監査証跡、隔離、迅速な認証情報の失効、人間による承認ゲート、そして実際の標的に到達できないテスト環境が、高い能力を持つサイバーエージェントに対してもはや任意の対策ではないことを裏付けています。
[ライブウェビナー] ElasticとUnderDefenseに参加し、小規模なセキュリティチームがAIの可視性とエージェント型対応を一つの運用モデルに統合する方法を学びましょう。-> 今すぐ登録
翻訳元: https://gbhackers.com/agentic-ai-models-rebuild-malware/
