AIの「マシンスピード」が2週間の攻撃をわずか10時間に短縮

ある攻撃者が人工知能(AI)エージェントを利用して10時間足らずで企業ネットワークを突破し、通常であれば2週間はかかる規模の攻撃時間を大幅に短縮しました。

Palo Alto NetworksのUnit 42の研究者らがこのインシデントに対応しました。水曜日に公開されたレポートによると、このインシデントでは人間の攻撃者がフロンティアAIを使い、「マシンスピード」のランサムウェア攻撃の一環として企業ネットワークを自律的に侵害したとされています。わずか数時間で完了したこの攻撃で、攻撃者は認証情報を収集し、root権限を奪取し、CI/CDパイプラインを乗っ取り、さらには被害者自身のAIインフラを攻撃に利用しました。

「エージェントたちは組織的な手口で同社のセキュリティ層を突破しました。それぞれが防御の異なる層を標的とし、共通の目標達成に向けて動いていました」とUnit 42の研究者らはレポートに記しています。「その影響力は、複数のレッドチームによる連携作業に匹敵する規模でした。これは通常、人間のオペレーターであれば約2週間を要する作業です」

今回のインシデントは、攻撃者がエージェントのチームを編成してネットワークや資産を侵害するその速度について、組織に強い警鐘を鳴らすものです。

AI主導の連携がもたらす違い

実際、AI支援型の攻撃はますます一般的になりつつありますが、今回の攻撃が際立っていたのは、「目新しいゼロデイ脆弱性や超一流の技術を必要とせずに」攻撃者がAIを使って達成した運用面での効率の高さだったと研究者らは述べています。

「攻撃者は戦術的な実行をAIエージェントに任せ、エージェントはリアルタイムで監視・評価・行動・再計画を行い、攻撃チェーン全体を通じて速度を高めていきました」と研究者らは記しています。攻撃者はさらに、エージェントに対して組織のセキュリティ態勢に関する「レポート」を残すよう指示しており、これは80ページに及ぶ技術監査という形で作成されました。

この攻撃は、フィッシングメールの作成、バイナリの解析、スクリプトの生成といった個別タスクの自動化にAIを利用する段階から、人間の攻撃者と並んで複数のエージェントが連携し、一連の悪意ある目標を達成する段階へと、AI支援の進化を示すものだと、AIセキュリティ企業DetectifyのCEOであるRickard Carlsson氏は指摘します。

「ここでの変化はオーケストレーション(統制)にあります」と同氏は言います。「Unit 42が説明しているのは、専門化された複数のエージェントが並行して動き、発見した情報を共有し合いながら適応していく一方で、人間が目標を設定し、重要な判断を下すという体制です」

こうしたやり方によって、「攻撃プロセスそのものが一つのワークフローと化しています」とCarlsson氏は付け加えます。

特殊作戦部隊のように振る舞うAIエージェント

実際のところ、今回の作戦はチェックリストをこなす従来型のハッカーというよりも、専門特化したオペレーターによる自動化されたチームのような構造を持っていたようです。研究者らによると、攻撃者は最新のAI対応のソフトウェア開発プロセスを用いてこの攻撃を運用していました。

攻撃者が使用したプロセスには、複数のフロンティアAIエージェントへのLLM呼び出し、エージェントやセッション間でやり取りされる構造化されたMarkdownファイル、動的な作戦を管理するためにAIが生成したカスタムスクリプトなどが含まれていました。研究者らによれば、これらのエージェントは互いに連携しながら自らの行動結果を処理し、次に取るべき行動を決定し、リアルタイムで再計画を行っていたということです。

10時間に及ぶ一連の作戦で確認された不正行為は多岐にわたります。まず脅威アクターが公開APIエンドポイントを侵害してネットワークへトンネル接続し、自動偵察エージェントを展開して内部のマイクロサービスをマッピングするところから始まりました。さらに攻撃者は、企業のコードリポジトリを徹底的に調べるサブエージェントを使ってシークレット情報を収集し、ハードコードされたトークンやサービスパスワードを抽出しました。

攻撃者はこうして流出したトークンを使ってシークレット管理システムに侵入し、マスター管理者権限の認証情報を取得してroot権限でのシステムアクセスを獲得しました。さらに企業のコードアプリケーションを制御下に置き、クラウドアクセスキーを窃取しました。研究者らによると、これらのキーはその後、被害者のAIエンドポイントを、将来の悪意ある活動に用いる侵害後インフラへと変貌させるために使われたということです。

「印象的なのは、悪用された根本的な弱点がいかにありふれたものだったかという点です。公開されたAPI、ハードコードされた認証情報、機密システムへの道を開くトークン、といった具合です」と、Carlsson氏は今回の攻撃で悪用されたセキュリティ上の欠陥について指摘します。「エージェントたちは新種の脆弱性を発見したわけではありません。既存の露出箇所を、より速く、より体系的に通り抜けていっただけです。知的な部分は攻撃そのものではなく、連携にあったのです」

防御にはAIの速度と適応力への対抗が必要

全体として、今回の攻撃は「フロンティアAIエージェントを効果的に展開する方法を理解している攻撃者であれば、攻撃のペースを劇的に速められることを浮き彫りにしている」と研究者らは記しており、今後攻撃者たちがAIエージェントを自らのツールセットにますます組み込んでいくと予想しています。つまり、自動化されたエージェントのループに対抗するには、「AI主導の攻撃と同等の速度と適応力」を備える必要があると付け加えています。

これを実現するには、企業は「セキュリティを定期的なものではなく継続的なもの」にする必要がある、とCarlsson氏は指摘します。「リポジトリ、パイプライン、Infrastructure as Code、シークレット管理はいずれも攻撃対象領域の一部として扱う必要があります」

さらに、認証情報の有効期間を短くし、AIエンドポイントや連携先のインベントリを整備するとともに、「侵害されたアクセスを迅速に遮断できるよう」封じ込めを自動化すべきだ、とCarlsson氏は付け加えます。

Unit 42によると、組織は行動パターンのループを検知することで、AI支援型攻撃がもたらす自動化に対するセキュリティの感度を高めておくべきだとしています。研究者らは防御担当者に対し、「バースト状のAPIリクエスト、401/200というHTTP状態の急速な切り替わり、並行した認証処理、予期しないIDからの突然のモデル利用など、運用上のループがないか調べるように」と助言しています。