Dream Research Labsによると、HermesとOpenClawの各エージェントを利用したマルチエージェントAIフレームワークがアジア地域の政府機関を侵害するのに使われ、数千件の職員記録を窃取し、従業員の認証情報を解読して、政府インフラへの永続的なアクセスを確立していたことが分かりました。
研究者らは、2026年7月1日から7月4日までの約4日間の活動で生成された1,395個のファイルを含む、160MBの作戦用アーカイブを発見しました。
報告によれば、このフレームワークは最大8体の自律型サブエージェントを同時に連携させ、12回の攻撃波にわたって、各エージェントに特定の標的や手法、偵察タスクを割り当てていました。
Dreamは、調査結果を公表する前に被害を受けた組織へ通知したとし、標的となった政府機関の名称やフレームワークの運用者の名前は伏せています。
マルチエージェントAIが政府システムを侵害
このAI駆動システムはベイズ推定によるスコアリングを用いて14の攻撃チェーンに優先順位を付け、最も有望な経路へ継続的にリソースを再配分していました。
また、初回の攻撃手法が失敗した場合には、脆弱性データベースやGitHubリポジトリ、セキュリティ関連の公開情報を検索する「学習サイクル」も実行していました。
このフレームワークは、Angularベースの政府ポータルからJavaScriptバンドルをダウンロードし、逆コンパイルすることから活動を開始しました。この過程で、URL、APIエンドポイント、OAuthクライアントID、Keycloakの設定データが露出しました。
Dataprivacy consulting
続いて、各エージェントは接続された21の政府システム、6つのSSOサブレルム、OpenID Connectエンドポイント、RSA鍵、認証フローを特定しました。
ある事例では、このフレームワークは36を超えるAPIエンドポイントをマッピングしており、そのうち複数は認証なしでアクセス可能でした。特筆すべきは、あるエンドポイントが氏名、部署、SSOアカウント識別子を含む完全な従業員ユーザーデータベースを露出していた点です。
このシステムは複数の侵入経路を同時並行で運用していました。ある政府向けアプリケーションでは、任意のリクエストボディを受け付けて認証済みセッションを返す、開発者向けの認証エンドポイントが3つ露出していることを特定しました。
さらに、収集したユーザー名を悪用し、オフィスオートメーションポータルに対して自動化された認証情報スプレー攻撃も試みました。このポータルはCAPTCHA保護を導入していましたが、フレームワークはTesseract OCRを用いてCAPTCHA画像を解読し、予測可能なパスワード形式を試行しました。その結果、85件のアカウントの解読に成功しました。
また別の脆弱性により、各エージェントはJSON Web Token(JWT)のalgorithmフィールドを「none」に設定することで認証トークンを偽造でき、有効な署名なしでトークンを受け入れさせることが可能でした。
このフレームワークは、シングルサインオン(SSO)連携を利用し、窃取した認証情報を接続先の各システムに対して試行しました。Dreamの報告によると、解読された85件のアカウントのうち84件が社内情報システムへのアクセスに成功しており、成功率は98.8%に上りました。
この攻撃キャンペーンでは、少なくとも2,564件の職員記録が窃取されました。内訳は、従業員データ1,409件、認証なしAPI経由で取得されたユーザー記録916件、法務省のエンドポイントから取得された法律専門家の記録239件です。
アーカイブには、内部ネットワークの範囲情報、データベースの認証情報、SSOクライアントシークレット、さらにある部署システムのユーザー情報を完全にJSON形式でエクスポートしたデータも含まれていました。
各エージェントは、制限のないファイルアップロード機能を通じてWebシェルのアップロードを試みましたが、Forms Authenticationレイヤーによって実行が阻止されました。この事例は、部分的な成功であっても識別し、別の攻撃経路へ切り替えるというフレームワークの能力を示しています。
Dreamの研究者らは、このフレームワークが単なる自動スキャンツールではないと強調しています。各エージェントは検証作業を行い、事後報告書を生成し、攻撃チェーンの優先順位を再設定し、再テストの結果を踏まえて誤検知を除外していました。
この事案は、AIエージェントが大規模な侵入活動を調整する際に必要な時間と専門知識を大幅に削減し得ることを浮き彫りにしています。
防御側が直ちに取り組むべき優先事項としては、認証なしAPIの排除、露出したデバッグ用エンドポイントの遮断、署名付きJWT検証の徹底、SSO連携サービス全体への多要素認証(MFA)の導入、そして認証情報スプレー攻撃の検知による侵害済みアカウントの横展開防止が挙げられます。
調査の遅れによるインシデントを防ぎましょう。15,000のSOCから得られる脅威インテリジェンスでTier 1を強化: TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/multi-agent-ai-framework-compromises-government-systems/
