ある脅威アクターが最先端のAIモデルと攻撃特化型のエージェント型フレームワークを使い、10時間足らずで企業環境に侵入してルート権限の認証情報を収集し、クラウドAIインフラを乗っ取りました。
Palo Alto Networks傘下のUnit 42が文書化したこの事案は、AI支援による自動化が、本来であれば複数の人間のレッドチーム担当者と約2週間の作業を要する侵入活動を、機械並みの速度で行う単独キャンペーンへと圧縮できることを示しています。
攻撃者は、専門化されたAIエージェントがツールの出力を監視し、選択肢を評価し、行動を実行し、次の手順を再計画するという自動化ループを使用していたとされています。
この攻撃者は、これまで知られていなかった脆弱性や極めて新奇な手口に頼るのではなく、既存の攻撃手法をはるかに高い作業テンポで実行していました。
Unit 42が観測したのは、並列で行われる大規模言語モデル(LLM)呼び出し、エージェントやセッション間でコンテキストをやり取りするための構造化されたMarkdownファイル、AI生成と見られるカスタム自動化スクリプトなど、複数のAIエージェントが協調して用いられたことを示す痕跡でした。
これらのエージェントは合わせて、MITRE ATT&CKフレームワークに沿った50を超える手法を実行しました。
攻撃者自身は目標設定や重要な意思決定を担う一方で、個々のエージェントが偵察、認証情報の収集、権限昇格、永続化といった活動を実行していました。
このキャンペーンは、公開されているWebサービスを悪用することから始まり、攻撃者はこれを足がかりに企業ネットワークへのトンネルを確立しました。
続いて自動偵察エージェントが内部のマイクロサービスをマッピングし、環境全体で到達可能なサービスを洗い出しました。環境のマッピング後、サブエージェントが企業のソースコードリポジトリを検索し、ハードコードされた認証情報やサービスパスワード、トークンを探し出しました。
これによって露出した機密情報を使い、攻撃者は組織のシークレット管理プラットフォームにアクセスして管理者用のマスター認証情報を収集し、最終的にルート権限でのシステムアクセスを獲得したとされています。
攻撃者は被害組織のDevOps環境も標的にしていました。企業向けコードアプリケーション内のカスタムワークフローを悪用してクラウドアクセスキーを窃取し、Terraformの設定ファイルにバックドアを仕込もうと試みました。
強固なブランチ保護管理策により、このInfrastructure as Codeの改ざん試行は阻止され、不変の保護策と必須のレビューゲートの価値が改めて浮き彫りになりました。
攻撃者は窃取したクラウド認証情報を使って被害組織のAIエンドポイントを呼び出し、同組織のコンピューティングリソースを侵害後のインフラとして流用しました。
この手口を使えば、攻撃者はオーケストレーション活動を正規のAIサービストラフィックに紛れ込ませつつ、コンピューティングコストを侵害された組織側に押し付けることが可能になります。
さらに攻撃者は、被害組織のセキュリティ態勢や悪用された数十件の弱点を記述した80ページに及ぶ技術報告書を残していました。
Unit 42は、防御側はAIシステムを孤立した実験的ツールとしてではなく、企業インフラの中核として扱うべきだと述べています。
組織はモデルのエンドポイント、APIキー、Model Context Protocolゲートウェイ、AI連携機能を棚卸しした上で、最小権限アクセス制御、レート制限、包括的な診断ログの導入を適用すべきです。
セキュリティチームはまた、突発的なAPIアクティビティ、急速なHTTP認証状態の変化、並列のログイン試行、想定外のIDからの異常なモデル利用など、エージェント特有の挙動パターンにも注意を払う必要があります。
インシデント対応の手順書には、ID管理、クラウド、DevOpsの各システムにまたがる連動した封じ込め策が求められます。推奨される対応には、認証情報の失効、OAuthセッションの終了、CI/CDパイプラインの凍結、そして影響を受けたクラウドアカウントの同時分離が含まれます。
最後に、企業はコードリポジトリとInfrastructure as Codeのワークフローを、複数人によるレビュー、強固なブランチ保護、シークレットスキャン管理策によって保護すべきです。
セキュリティチームに、疑わしい活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを。ANY.RUNで調査能力を強化する
翻訳元: https://cyberpress.org/ai-agents-breach-enterprise-network/
