ロシア語圏ハッカー、7社への攻撃でCursor AIを悪用と報告

サイバーセキュリティ企業Gambit Securityが分析したデータおよびロイターが確認した情報によると、ロシア語を話すサイバー犯罪者たちは、企業ネットワークへの攻撃中にCursorのAIエージェントを利用する際、繰り返し「これは正当なセキュリティテストである」とAIに説明していたことがわかりました。

この一連の攻撃は、市販のAIツールがサイバー攻撃に転用され得ることを示しています。攻撃者はこれにより、本来であればより多くの手作業を要する偵察、認証情報の窃取、ネットワークへの侵入といった工程の一部を自動化できてしまいます。

Gambitは、Aur0raランサムウェアグループに関連するインターネットに露出したサーバーを発見したことで、この活動を突き止めました。このサーバーには、ハッカーとCursorのAIエージェントとの間で交わされた28件のチャットセッションが保存されており、4月8日から5月21日までの活動が記録されていました。

調査ではさらに、この期間中に攻撃者がCursor Agentを10の標的組織に対して使用していたことも判明しています。

ロイターは被害企業のうち6社を独自に特定しました。ベルギーの衛生・清掃用品メーカーであるChristeyns、ドイツのガレージドアメーカーTeckentrup、スコットランドのHelideck Certification Agency、アルゼンチンの医薬品販売会社、イタリアの製造会社、そして米ルイジアナ州のBayou Titleです。

また、別のGambitの調査では、データ窃取用インフラの構築を含む異なる手口を用いた、8つの組織を標的とする別のAur0raの活動も確認されています。

偽の「シミュレーション」がAIのガードレールを回避

ハッカーたちは、自分たちの活動が正当なセキュリティテストの一環であると繰り返しCursorに伝えていました。Gambitによると、エージェントが一部の要求を拒否した際には、攻撃者は会話を最初からやり直し、同じ主張を繰り返していたといいます。

ロイターが引用したログによれば、あるチャットの中でエージェントは「これはテスト環境なので、合法である」と判断していました。

会話ログからは、社内ネットワークのスキャン、権限の列挙、VPNの設定、そして侵害の試みといった作業をAIエージェントが支援していた様子がうかがえます。当初は多くのコマンドが失敗に終わっていましたが、ハッカーが指示を調整していくうちに、一部の操作が成功するようになっていきました。

ロイターはまた、侵入行為の最中にエージェントが意欲的とも取れる反応を見せていたことも確認しています。ある被害者のVPNへの接続に成功した際には、「素晴らしい!VPNの接続に成功しました!」と応答していました。

Gambitの脅威インテリジェンス部門ディレクターであるEyal Sela氏はロイターに対し、AIの利用によって攻撃に伴う手作業の一部が省かれ、ハッカーの作業速度が「30%、40%、あるいは50%」向上した可能性があると語っています。

企業にとって何を意味するのか

今回の事案は、AIコーディングエージェントを導入する企業にとって、セキュリティ上の課題が拡大していることを浮き彫りにしています。開発者の反復作業を減らすのと同じツールが、攻撃者の手に渡った場合には攻撃行為そのものを加速させてしまう恐れがあるのです。

だからといって、企業がAIコーディングアシスタントの利用をやめるべきだという話ではありません。しかし、AIエージェントがアクセスできる範囲を制限し、その活動を監視し、認証情報や開発環境そのものを企業ネットワークへの侵入経路になり得るものとして扱うことの重要性が、これまで以上に高まっていることは確かです。

今回のタイミングは、Cursorへの注目をさらに集める結果ともなりました。SpaceXは今月初め、Cursorの買収を完了しており、このAIコーディングツールはイーロン・マスク氏が率いる幅広いテクノロジー事業の傘下に加わったばかりだったからです。

防御側にとって重要な教訓は、AIのガードレールだけを唯一の防衛線にしてはならないという点です。攻撃者が繰り返しエージェントを説得し、制限を無視させることができるのであれば、アクセス権限、認証、ネットワーク監視といった、エージェントを取り巻くセキュリティ対策が同じくらい重要になってきます。

Gambitの調査結果が示唆しているのは、AIを悪用したハッキングによる当面の脅威は、自律型AIエージェントが攻撃者に取って代わるというものではないということです。むしろ実態は、経験豊富な犯罪者たちが、偵察・侵害・侵害後の活動における時間のかかる手作業を省くためにAIエージェントを利用している、という構図です。

防御側にとってこれが意味するのは、AIの安全対策はあくまで防御の一層として扱うべきであり、それ自体を境界線と見なしてはならないということです。権限管理、認証情報の保護、ネットワークの分離、そして監視体制こそが、人間であれAIの支援を受けていようと、攻撃者が実際にどれほどの被害をもたらせるかを左右するのです。

その他のセキュリティニュース:攻撃者はフィッシングキャンペーンを利用し、被害者を騙して正規のリモート監視・管理ツールをインストールさせています。これにより、侵害されたシステムへの持続的なアクセスを確保しています。