すでに与えられていた権限
有効な認証情報から生まれた汚染パッケージ、既に与えられていた権限だけでインサイダー脅威と化したAIエージェント、そして権限が与えられた瞬間に行動を進めたランサムウェアアフィリエイトのLLM——攻撃者たちは、AIに被害をもたらすために新たな権限は不要だと気づき始めています。つまり、権限昇格はもはや優先度の高い戦術ではなくなりつつあるということです。Sysdig自身による8月の調査は、この点をさらに鮮明に示しています。調査対象となったAIを活用した8件の攻撃のうち7件は、MITRE ATT&CKフレームワークの中でも最もありふれたコマンド実行手法を用いていました。AIは新たな攻撃対象領域を生み出しているわけではありません。しかし、丁寧に(あるいは正しい方法で)頼めば、AIはやるべきことをやってのけるのです。
それでは、今月のセキュリティブリーフィングを見ていきましょう。
8月4日: Shai-Huludワームが再び姿を現す
- ChainDropは、2025年11月下旬に確認された自己増殖型npmサプライチェーンワームShai-Hulud 2.0の進化形です。ただし、今回のバージョンは、5月にShai-Huludのソースコードを流出させたTeamPCPとの関連は確認されていません。
- 新たなペイロードは、Ethereumのスマートコントラクトを通じてC2(コマンド&コントロール)を解決し、AIコーディングツールの認証情報を狙い撃ちします。
- ChainDropは4時間足らずのうちに400を超えるパッケージと2,000のバージョンを汚染しました。JavaScriptエコシステムの公開開発者向けツールを標的にした後、最初の2時間以内にServiceTitanやQlikなど企業のエンタープライズSDKへと標的を移しています。
- この件のほとんどの見出しはBlack Hatの宣伝の陰に埋もれてしまいましたが、影響を受けたバージョンをインストールしていた場合は、侵害されたものとみなすべきです。侵害されたGitHubメンテナーアカウントにより、悪意あるリリースが正規のSLSA来歴情報を伴った状態で配布されていました。
8月9日: 「Ghostjacking」がAIコーディングエージェントをインサイダーに変える
- DEF CON 34において、Tenet Threat Labsは研究を発表し、たった1行のログがAIコーディングエージェントを開発者のマシン上でインサイダー脅威に変えてしまう仕組みを示しました。
- Tenet Threat Labsが示したのは、特定のプラットフォームの脆弱性ではありません。この欠陥パターンはCloudflare、Datadog、Sentryに影響を及ぼしており、Cloudflare自身が推奨する構成下のClaude Codeに対しては90%の成功率を記録しました。
- これとは別に、AnthropicのClaude Desktopのサンドボックスエスケープに関するゼロデイ脆弱性も発見されました。この脆弱性は、本来であればデータ持ち出しをブロックするはずの制御を無効化してしまうものでした。
- 4社すべてのベンダーには事前に通知が行われ、Claude Desktopの欠陥についてはDEF CONでの発表前にパッチ適用が確認されています。
- Ghostjacking攻撃を検知できないのは、AIエージェントが取る一つひとつの行動——ログの読み取りやDNSレコードの書き込みなど——が、そのエージェントに既に許可されていた行為だからです。
- これを解決するには最終的にアーキテクチャ上の是正が必要です。読み取り専用のツールと書き込み/実行系のツールを、明示的な信頼境界なしに同一セッションで共存させてはなりません。
8月13日: ランサムウェア侵入でClaude Codeが使用される
- Gambit Security脅威インテリジェンスチームは8月13日、攻撃者が攻撃的なオペレーションでAIの活用に成功した、互いに無関係な3件の事例に関するレポートを公開しました。
- 報告された事例の一つでは、「The Gentlemen」というランサムウェア・アズ・ア・サービス(RaaS)のアフィリエイトとみられる攻撃者が、少なくとも6つの被害組織への侵入においてClaude Codeを使用していました。
- この攻撃者は最先端モデルではなくSonnet 4.6を使用していましたが、これはより厳格な安全ガードレールを回避する狙いがあったとみられます。
- Claudeはコマンドを実行し、データベースを重要度順にランク付けし、稼働中の本番データベースを正確に識別した上で、最も重要な資産を特定しました。
- Claudeが稼働中の本番システムへのログインを拒否すると、攻撃者は新たなセッションを開き、そのシステムに対する権限があると主張しました。その結果、Claudeは処理を進めてしまいました。
Sysdig TRTによるその他の調査結果
AIが技術的負債を取り立てにやってくる
- Sysdig脅威リサーチチーム(TRT)は8月12日、AIを活用した8件の攻撃を分析したレポートを公開しました。これらの攻撃に目新しい手法は一つも含まれていません。AIが変えたのは、誰が攻撃を実行できるかということと、その速度だけです。
- 8件の攻撃のうち7件は、MITRE ATT&CKフレームワークの中で最もありふれた手法である「T1059: コマンド&スクリプトインタープリタ」を使用していました。
- このブログ記事は、5つのAIに関する「負債」が一斉に返済期限を迎えているという構成で書かれています。これらの負債は、コード、インフラ、ガバナンス、スキル、そしてAI攻撃対象領域の放置から生じたものです。
その他のニュース
- OWASP GenAI Security Projectのアップデート: 「 LLMアプリケーションのためのOWASP Top 10」が8月3日に更新され、注目すべき変化がありました。プロンプトインジェクションは2回連続で第1位を維持したものの、それ以外の項目については評価の枠組みが変わり、順位にも変動が生じています。今回初めて、専門家による投票に加えて侵害データがランキングに反映されるようになりました。この変更により、過剰なエージェンシー(Excessive Agency)と誤情報(Misinformation)が大きく順位を上げています。
- 2022年重要インフラサイバーインシデント報告法: CIRCIA は、夏の間にいくつかの公開会合を経て、依然として静かに9月の最終規則施行という目標に向けて進んでいます。この期限は当初の2025年10月から既に2回延期されていますが、最終的に確定すれば、CISAはインシデントを72時間以内に、身代金の支払いを24時間以内に報告することを義務付ける予定です。注視し、備えておく価値はありますが、まだ確定的な予想は禁物です。
- NISTがNVDを近代化: NISTは8月17日、National Vulnerability Database(NVD)の近代化に向けたコミュニティからの提案を募る情報提供依頼(RFI)を公開しました。この取り組みには、NVDを機械可読な形式にすることや、AIによって形作られるサイバーセキュリティ環境により適した形に位置づけ直すことが含まれます。コメントの受付期間は2026年10月13日までです。
- Cl0pによるPTC Windchillの悪用: 8月中旬にかけて、Cl0pランサムウェアグループは、PTC WindchillのPDMLinkおよびFlexPLM製品ライフサイクル管理ソフトウェアにおける未認証ユーザー向けのRCE脆弱性CVE-2026-12569を悪用し、約50の組織を攻撃しました。Cl0pは、Shell、Philips、Fiserv、Toast、Zebra Technologiesといった著名企業から、画像ファイル、文書、設計図、プロジェクトファイル、データベースなどを窃取しました。
おわりに
8月という月は、今監査すべきなのは付与された権限そのものだけでなく、信頼境界であることを改めて思い出させてくれます。あなたのアーキテクチャにおいて、何かが実行される前に人間が最終チェックを行うという前提は、もはや存在しません。今重要な監査とは、誰がアクセス権を持っているかではなく、一度中に入った者に何が許されているか、そして読み取りのみの状態から行動を起こす状態へと移る間に何らかの障壁が存在するかどうかです。
9月にはすでに、それ自体の正念場が控えています。CIRCIAの最終規則に向けたカウントダウンが進んでおり、これによってガバナンスをめぐる議論が一気に巻き起こることになるでしょう。またNISTも、10月までにNVDに関する意見を求めています。
毎月のまとめの合間にも最新情報を追いたい方は、当社ブログのSysdig TRTをチェックするか、LinkedInで私が隔週で発信しているセキュリティニュースレターをフォローしてください。
翻訳元: https://webflow.sysdig.com/blog/security-briefing-august-2026
