中国語圏を拠点とするハッカーが、アジア太平洋地域のある政府機関に対してマルチエージェントAIを用いた攻撃を成功させました。この事件は各国および企業に対し、近未来の、あるいは完全自律型のAI搭載攻撃がすでに現実のものとなっていることを警告しています。
主権AI企業Dreamが8月12日に発表した調査によると、今回の攻撃では最大8体のAIエージェントが同時に稼働し、偵察、脆弱性の発見・評価、ネットワークおよびシステムへの攻撃、さらには攻撃結果の評価と改善を繰り返し実行していました。同社は特定の攻撃者や集団への帰属は明らかにしていませんが、研究者らは攻撃者が簡体字中国語を使用していたという有力な証拠を指摘しており、これは一般に中国本土出身者であることを示す兆候とされています。
同社は標的について「アジアの政府機関」とのみ言及するにとどめていますが、台湾のデジタル発展部（MODA）は翌日、Dreamの説明の多くと一致する攻撃への対応状況について声明を発表し、その中で「OpenClawのようなAIエージェント」が使用されたことを明らかにしています。
Dreamの最高事業・戦略責任者であり、イスラエル情報部隊8200部隊（正式名称：中央収集部隊、インテリジェンス・コープス）のサイバー作戦部門の元指揮官でもあるアミール・ベッカー氏によれば、今回の事件は完全自律型攻撃が主要な標的に対して行使され得ることを警告するものだといいます。
「攻撃の速度と規模は変化しており、サイバー攻撃の経済性も劇的に変わりつつあります」と同氏は述べています。「防御側は……人手による運用だけを続けるわけにはいきません。攻撃側がAIを使って攻撃を仕掛けてくるのであれば、防御側も同じ規模・同じ速度でAIを活用する姿勢に転換する必要があります」
自動化された攻撃は、各国政府や大企業にとって急速に懸念材料として浮上しています。2025年12月から2026年2月にかけて、攻撃者はメキシコ政府を標的に、AI能力を備えた自動化攻撃を仕掛けましたが、その攻撃は多くの点で失敗に終わりました。より最近発生したOpenAIのAIモデルによるHugging Faceへの攻撃は、エージェントベースの攻撃フレームワークが何をなし得るかを示す完全自動化された事例です。このフロンティアモデルは、パッケージマネージャー内に存在していた未知の脆弱性を発見することで同社のサンドボックス化された研究環境からエージェントを使って脱出し、さらにその問題を悪用するツールを自ら作成していました。
ベイズ的思考を備えたAI
Dreamが調査した今回の事件では、攻撃者は標準的なソーシャルエンジニアリング手法を用いて、未特定のフロンティアモデルのガードレールを回避し、特定されていないアジアの国の政府機関を攻撃するための侵入テストフレームワークを構築したとされています。研究者らは、160メガバイト超・1,395ファイルからなる作業用ワークスペースを分析対象としたと、Dreamの調査報告書は述べています。
攻撃者のAI運用は、OpenClawおよびHermesというエージェント型フレームワークを基盤として構築されており、「A」から「Q」までの単一アルファベットで識別される最大8体のサブエージェントが使用されていました。研究者らによれば、各サブエージェントには攻撃チェーンの一部が自律的に割り当てられており、政府職員の認証情報の解読、脆弱性の特定と悪用、人事記録の窃取、そして政府のWebアプリケーションへの永続的なバックドアの設置といった役割を担っていたとのことです。
AIエージェントは、人間のアナリストや攻撃者にとってもおなじみの攻撃チェーンをたどりました。出典：Dream
「各エージェントには異なる役割が割り当てられていました。例えば、あるエージェントは公開されているAPIエンドポイントの探索を担当し、別のエージェントは認証情報の窃取を担当するといった具合です」と、セキュリティ上の理由から匿名を条件にDark Readingの取材に応じたDreamのサイバーセキュリティ研究者は説明しています。「親セッションがサブエージェントの調整役を担い、各波状攻撃で複数のサブエージェントを同時稼働させることができました」
攻撃は全体で12波にわたって実施されました。調整役のエージェントは単純なベイズ型のスコアリングアルゴリズムを使用しており、成功したエージェントの発見にはポイントを付与し、失敗したものにはペナルティを課したうえで、そのスコアに基づいて次の行動を決定していました。
台湾への攻撃にAIの痕跡
標的は台湾である可能性が高く、これはFinancial Timesが最初に報じました。
8月13日、台湾のMODAは、7月に「サイバーセキュリティ監視部門が政府機関を標的とする異常な攻撃を検知した」ことを認めました。MODAおよび国家サイバーセキュリティ研究院（NICS）は内部で警報を発令し、7月20日に本件の調査に着手、8月13日までに調査を完了したと、MODAは中国語での発表声明（Kagi翻訳経由）で述べています。
声明は次のように述べています。「調査の結果、今回の一連の攻撃には海外を起点とする明確な特徴が見られ、ハッカーがOpenClawのようなAIエージェントと人手による作業を組み合わせるハイブリッド型の手法を用いていたことが分かりました」「AIエージェントは複数の攻撃手法を素早く連結させ、バックアップ環境やテスト環境といった二次的なシステムを踏み台として利用できるため、攻撃を高速かつ低コスト、大規模なものにしています」
Dreamは、顧客保護の必要性を理由に台湾が標的であることの確認を避けていますが、時系列は符合しているように見えます。脅威アクターは7月1日から4日までの4日間にわたり、アジア太平洋地域の政府機関を標的に攻撃を仕掛け、Dreamの調査チームは7月2日に攻撃の初期兆候を検知しました。当初の発見からDreamによる調査、そして被害を受けた政府機関への通知、さらに政府側の独自調査という一連のプロセスを経たことで、攻撃終了時点と台湾のサイバー対応機関が7月20日に警報を発令した時点との間に2週間以上の差が生じたと考えられます。
「私たちは7月2日にこの活動を最初に検知し、その後数週間にわたって監視と調査を継続し、作戦の全容を完全に把握するよう努めました」と、Dreamの調査チームは発見の経緯に関する質問に対しDark Readingへの声明で述べています。
Dreamは100を超える脅威グループを追跡していますが、攻撃者のワークスペースから発見された戦術・技術・手順（TTP）を、それらのグループのいずれかと明確に結びつけることはできなかったとしています。
アジアのみならず世界中の組織への警告
今回の攻撃はアジアの各国政府だけでなく、世界中の組織にとっても懸念材料になるべきだと、サイバーセキュリティ企業AttackIQの最高商業責任者であり、米海兵隊の最高情報セキュリティ責任者（CISO）を務めた経験を持つカール・ライト氏は指摘します。中国の「作戦の順序」は通常、自国の勢力圏内にあるライバルや敵対勢力に対してまず能力を行使し、その後にそれを拡大していくものだと同氏は語ります。
「中国は、運用能力の面でより先を行く組織に対して仕掛ける前に、アジアの勢力圏内で段階的な能力を試験的に投入し、それらの能力を試作・改良している可能性があります」と同氏は述べています。
ライト氏は、台湾や韓国のような国々は「中国だけでなく、北朝鮮やその他の犯罪組織にとっても、はるかに高いペースかつ速いスピードでサイバー防御に投資し能力を開発してきた英国や米国などのいわゆる第一級の攻撃対象国に仕掛ける前に、自らの能力を試すための格好の標的になっている」と述べています。
企業は攻撃者の手口から学ぶべきです。今回の事件で脅威アクターはAI攻撃フレームワークを構築しましたが、AIのガードレールを回避するために、正当な侵入テスト活動を行っていると偽っていました。Dreamの研究者はDark Readingに対し、防御側も同じ手法を取るべきだが、その場合は正当な侵入テストのためにAIフレームワークを活用することになると述べています。
「攻撃者と同じようにエージェントの構築を始め、攻撃者がどのように私たちを攻撃してくるかを見極めていく。そうすれば当然、同じ方法で防御できるようになります」と同研究者は述べています。「私たちは基本的に、AI時代の現代的な攻撃者のように考え、攻撃者がどのようにAIを活用して私たちを攻撃してくるかを想像する必要があります」
同研究者はまた、今回の攻撃にゼロデイ脆弱性の悪用が一切必要とされなかった点も指摘しており、組織が基本的なセキュリティの穴を塞ぐ取り組みを強化する必要性を浮き彫りにしています。
防御側がAI主導の攻撃に対抗するためにAIを積極的に導入しない限り、攻撃側と防御側の能力の非対称性は拡大し続けるだろうと、ライト氏は述べています。
「かつては、敵対勢力が攻撃に1ドルを費やすなら、私たちはそれを防御するために100ドルを費やさなければならないと言われていました」と同氏は述べています。「しかし現在の根本的な問題は、敵対勢力が費やすのは1ドルではなく、わずか5セントで済むようになったということです。攻撃を生み出すコストと私たちが防御するコストの間の非対称性は、防御側がAIを十分な速さで活用できていないために、ますます拡大しつつあります」
