2026年7月上旬、攻撃者がオープンソースのAIエージェントを使って政府システムやエネルギー企業を自律的にハッキングしていたことがわかりました。これは、重要インフラに対するAI駆使の攻撃がもはや理論上の話ではなくなったことを、防御側に突き付ける出来事です。
「明白かつ現実的な脅威が存在します」と、TrendAIでAIセキュリティ・脅威調査担当バイスプレジデントを務めるTom Kellermann氏はThe Registerに語りました。
「地政学的緊張が高まるにつれ、自律型AIによる組織的な破壊的サイバー攻撃が発生するでしょう」と同氏は述べています。「兵器化されたAIは重要インフラの安全システムを無効化し、物理的な災害を引き起こすことになります。ウクライナの戦場で自律型攻撃車両が稼働しているのと同じように、自律型の兵器化AIの登場を想定しておくべきです」
実際、攻撃者が重要インフラに対してAIを悪用するという懸念は、先週開催されたHacker Summer Campの一連のカンファレンスでThe Regが取材したすべての国家安全保障顧問、法執行機関関係者、民間セクターの脅威アナリストにとって、最大の関心事となっていました。
「私たちにとっては、重要インフラが標的になっていることが問題です」と、FBIサイバー部門の副部長を務めるBrett Leatherman氏はBlack HatでのインタビューでThe Regに語りました。
「私たちが強く注視しているのは、重要インフラを標的にした攻撃の下流での影響です」とLeatherman氏は述べています。「サイバーが物理的な事態に転じるのは、まさにそこです。上下水道処理施設であれ、電力網であれ、高頻度取引ネットワークや金融ネットワークであれ、これらの完全性が損なわれれば、地域社会や国家安全保障に重大な影響が及びます。だからこそ、私たちのチームは夜も眠れないほど気にかけているのです。どうすれば重要インフラを守れるのか、と」
サイバーが物理的脅威に変わる場所
2026年7月の最初の4日間、中国系とみられる攻撃者集団が、HermesとOpenClawというAIエージェントを基盤とした攻撃フレームワークを使い、台湾内の標的に攻撃を仕掛けました。
12回にわたる「攻撃波」の中で、この「準自律型」システムは最大8体のサブエージェントを展開し、それぞれに個別の標的と手法を割り当て、台湾政府のウェブサイトに侵入しました。最終的に、政府の電子メールシステム、同国の原子力安全機関、ITサプライチェーンベンダー、そして少なくとも7社のエネルギー企業を侵害し、ネットワーク内を移動しながら設定ミスや脆弱性を発見・悪用し、機密データや認証情報などの秘密情報を窃取していきました。
台湾政府への侵入は、米国内の上下水道事業者への一連のサイバー攻撃に続いて発生しました。トランプ政権はこれらの攻撃を特定の政府や集団に帰属させてはいませんが、FBIサイバー部門の元副部長補佐官で、現在はHalcyon Ransomware Research Centerのシニアバイスプレジデントを務めるCynthia Kaiser氏をはじめとする民間セクターの脅威ハンターたちは、これらの侵入をイランによるものだと見ています。
軍事紛争がサイバー空間に波及すること自体は目新しいことではありませんが、今回の米国でのサイバー攻撃は、イランとの戦争をミネソタ州の30を超える小さな町の水道システムや、他の10近い州にまたがる標的にまで持ち込みました。
ここで明確にしておくべきなのは、これらの水道事業者へのハッキングにAIが使われたという証拠は存在しないという点です。被害に遭ったのはほとんどが小規模な地域システムで、プログラマブルロジックコントローラー(PLC)が初期設定または脆弱なパスワードのままインターネットに直接さらされていました。
それでも、こうした侵害は「40年、50年分の技術的負債」を露呈するものだと、元米国家サイバー長官のChris Inglis氏はBlack HatでのインタビューでThe Regに語りました。
この技術的負債、つまり先送りされてきた保守作業、パッチ未適用またはサポート終了となったシステム、遅延したセキュリティ更新は、攻撃対象領域を拡大させ、侵入者に重要システムへの侵入経路を増やす結果を招き、運用を脅かし人々が日常的に頼っているサービスを混乱させる可能性があります。
「水道セクターへの攻撃は、実行主体が誰であるかにかかわらず、PLCの未修正の脆弱性を突いたものです」とInglis氏は述べています。「私たちはこの特定の脆弱性について何年も前から知っていました。それでも何も対処してこなかったのは、それが低レベルで、容易にはアクセスできないものだったからです」
Inglis氏はさらに、これらのPLCの悪用にAIが使われたことを示す兆候はないとも付け加えました。
「船の中にワニがいる」
しかし、AIシステムは攻撃者が技術的負債につけ込むことを可能にしており、しかもフロンティアモデルへのアクセスすら必要としません。無料で入手できるオープンウェイトモデルもまた、ソフトウェアや設定の不具合を見つけ出し、それらを連鎖させ、悪用してソフトウェアやシステムを破壊する能力に長けています。
この夏の初め、トロント大学の研究者たちは、2025年に公開された名称非公表の一般公開されているオープンウェイトモデルを使い、企業のテストネットワーク内に拡散したと主張するコンピュータワームを開発しました。
この自己増殖型のコードは、標的システムの既知の脆弱性や設定ミスを特定するためにその場で適応し、ネットワーク内を横方向に移動して追加のマシンを侵害するための攻撃を生成・実行しました。
「汎用モデルでもそれは可能ですし、見つかる脆弱性の多くはソースコードへのアクセスを必要としません。問題は設定にあり、その設定は時間とともに変化していくものだからです」とInglis氏は述べています。
攻撃者によるAIシステムの悪用について、「フロンティアモデルを心配する必要はありません」とInglis氏は述べています。「すでに世に出回っているモデルを心配すべきです。結局のところ、船の中にはワニが潜んでいたわけで、それは汎用モデルのことなのです」
これまでの侵害で見てきたように、政府系の攻撃者と犯罪グループの双方が、AIを使って偵察活動を自動化する動きを強めています。セキュリティアナリストたちは、この技術が攻撃者による産業制御システム(ICS)に関する専門知識の習得をも後押ししかねないと懸念しています。
OT知識がコモディティ化するとき
「ICSを守っているのは、何よりもまず『不可視性』です」と、Google Threat Intelligence Groupのチーフアナリストを務めるJohn Hultquist氏はBlack Hatでの記者向けブリーフィングで述べました。「それは、私が『超オタク』と呼ぶ一握りの人々だけが持つ、難解で専門的な知識であり、攻撃者がその実行に必要な知識を持ち合わせていることはめったにありませんでした。しかし、もはやそうではありません。その知識は、いつでも取り出せる状態になっているのです」
AIツールの存在により、悪意ある者たちは重要なネットワークや施設に対して破壊的なサイバー攻撃を仕掛けるために、ICSや運用技術(OT)の専門家である必要がなくなりました。エージェントに対して、これらのシステムについてすべてを学習させ、汚れ仕事を代行させるよう頼むだけで済んでしまうのです。
「これまで、この分野で最高レベルの能力を持つ脅威アクターといえば、中国やロシアのような存在でした」とHultquist氏は述べています。「しかし今では、そこから数段階下に位置する北朝鮮やイランのような、この技術にこれまで同等の力を注いでこなかったアクターたちが、はるかに大きな成功を収めるようになるのではないかと危惧しています。彼らは、望むだけ攻撃的に振る舞うために必要なツールを手に入れることになるでしょう」
おそらく今週のBlack Hatで最も話題になったブリーフィングにおいて、OpenAIの従業員たちは、自社モデルがどのように訓練環境の枠を逃れて暴走し、セキュリティ評価を完遂するためにHugging Faceをハッキングしたのかについて、詳細を明らかにしました。
そこで判明したのは、これらのAIエージェントが数か月にわたって他のエージェントに助けを求め、メッセージボードを構築し、独自の通信プロトコルを開発していたということです。つまり、攻撃を実行するために、事実上の集合知性(ハイブマインド)を作り上げていたのです。
「近い将来、脅威アクターが、私たちがここで説明したのとまさに同じやり方で、攻撃的なエージェント集団を意図的に展開・最適化・兵器化し、実際に使用してくることを想定しておくべきです」とOpenAIの技術スタッフであるMichael Dalton氏は述べています。
退役将軍で元NSA長官のPaul Nakasone氏は、DEF CONで記者団に語った際、このHugging Faceへの攻撃を「AI生成による自律型サイバー攻撃という観点での転換点」と表現しました。
「課題はここにあります。今後数か月のうちに、防御側の対応を今よりもはるかに迅速かつ優れたものにしていかなければならないのです」と同氏は付け加えました。
まさにここに課題があります。AIの攻撃的な用途は、自律型の防御手段よりも速いペースで進化しているように見え、しかも攻撃者は防御側に課せられているような法的・倫理的制約を受けないのです。
「自律型の防御エージェントの群れが攻撃と渡り合う世界には、まだしばらく到達しないだろうと考えています」と、Accenture Cyber Intelligenceのグローバル責任者を務めるRyan Whelan氏はBlack HatでThe Regに語りました。「それはおそらく1年以上先の話でしょう。ただ、それよりも先に、敵対者側でこうした動きが見られるようになると考えています。彼らは物事を破壊しても構わないと思っているからです」
Kellermann氏はヴィクトル・ユーゴーの言葉を引用しました。「世界の歴史上のどんな軍隊も、その時代が来たひとつの思想を止めることはできない」
「その思想とは」と同氏は続けます。「兵器化されたAIのことです。盾を構えよ」 ®
