ハッカーが最先端AIエージェントを使い10時間足らずで企業ネットワークに侵入

ある脅威アクターが最先端の人工知能モデルと攻撃特化型のエージェント型フレームワークを使い、企業環境に侵入してルート権限の認証情報を窃取し、クラウドAIインフラを乗っ取ったことが明らかになりました。所要時間は10時間足らずだったといいます。

Palo Alto Networks傘下のUnit 42が文書化したこの調査結果は、侵入活動における重大な転換点を浮き彫りにしています。AIによる自動化により、本来であれば複数の人間によるレッドチームオペレーターと約2週間の連携作業を要するはずの攻撃が、機械的な速度で実行される攻撃キャンペーンへと圧縮されたのです。

AIエージェントは戦略的な目標を独自に判断するのではなく、専門化された作業員として機能し、攻撃者の指示の下で情報処理と技術的タスクの実行を継続的に行っていました。

ハッカーが最先端AIエージェントで企業ネットワークに侵入

今回のキャンペーンは、ゼロデイ脆弱性や特別に高度な新種マルウェアに依存したものではありませんでした。その代わりに、攻撃者は既知の侵入手法を、構造化されたエージェント型ワークフローを通じて驚異的な速度と規模で適用しました。

脆弱性評価ツール

Unit 42の観測によれば、並行して行われる大規模言語モデル(LLM)へのクエリ、エージェントやセッションをまたいで文脈を保持するために使われた構造化されたMarkdownファイル、そしてAIによって生成または改良されたとみられるカスタム自動化スクリプトなど、AIエージェントが連携して活動していた証拠が確認されました。

これらのエージェントは、MITRE ATT&CKフレームワークにマッピングされる50を超える手法を実行しました。攻撃者自身は、標的の選定や目標設定、運用上の重大な結果を伴いかねない行動といった、影響の大きい判断に関する権限を保持し続けていました。

個々のエージェントは、偵察、認証情報の探索、権限昇格、水平移動、永続化、データ収集といった作業をそれぞれ担当しました。この分業体制により、ツールが予期しない結果を返した場合や、防御側のコントロールによって特定の経路が遮断された場合でも、迅速な計画の練り直しが可能になっていました。

侵入は、一般公開されているWebサービスの悪用から始まりました。この初期侵害により、攻撃者は企業ネットワークへのトンネルを確立することができ、内部の列挙作業やその後の活動につながる経路が作られました。

自動化された偵察エージェントが内部のマイクロサービスをマッピングし、アクセス可能なサービスを特定した上で、その調査結果を他の専門エージェントに引き渡しました。

環境のマッピングが完了した後、サブエージェントが企業のソースコードリポジトリを検索し、ハードコードされた認証情報、サービスパスワード、APIトークン、クラウドアクセスキーを探し出しました。

報告によれば、これらの露出した機密情報を突破口として、組織のシークレット管理プラットフォームへのアクセスが可能になり、攻撃者は管理者用のマスター認証情報を窃取して、ルートレベルのシステムアクセス権を獲得しました。

攻撃者は被害組織のDevOps環境も標的にしていました。企業向けコード管理アプリケーションのカスタムワークフローを悪用してクラウド認証情報を窃取し、Terraformの設定ファイルにバックドアを埋め込もうと試みていました。

強固なブランチ保護のコントロールにより、このInfrastructure as Codeの改ざん試行は阻止されました。この事実は、必須のレビュー体制、保護されたブランチ、そして変更不可能なデプロイ管理といった仕組みが、AIによって加速された攻撃に対してもなお有効に機能し得ることを示しています。

攻撃者は窃取したクラウド認証情報を使って被害組織のAIエンドポイントを呼び出し、組織のコンピューティングリソースを侵害後のインフラとして転用しました。

こうした手口を使えば、攻撃者は正規のAIサービストラフィックの中にオーケストレーション活動を隠しつつ、コンピューティングコストを侵害された組織側に転嫁できる可能性があります。

攻撃者は、被害組織のセキュリティ体制と、今回の作戦中に発見した数十件の脆弱性についてまとめた80ページに及ぶ技術評価レポートも残していました。

セキュリティ製品・サービス

この報告書は、エージェント型システムが悪用行為だけでなく、侵害後の包括的な分析までも自動化できることを示しています。

Unit 42は、組織に対してAI環境を独立した実験的システムとしてではなく、企業インフラの中核として扱うよう助言しています。セキュリティチームは、モデルのエンドポイント、APIキー、Model Context Protocol(MCP)ゲートウェイ、AIエージェント、そして接続されたクラウドサービスの棚卸しを行うべきです。

防御側は、AI、ID管理、クラウド、DevOpsの各環境にわたって、最小権限の原則、レート制限、シークレットスキャン、詳細な診断ログの適用を進める必要があります。分析担当者は、バースト的なAPIトラフィック、認証状態の急激な変化、並行して行われるログイン試行、通常とは異なるモデルの利用状況、想定外のIDからのアクセスなどを調査すべきです。

インシデント対応計画では、ID管理プロバイダー、クラウドアカウント、CI/CDプラットフォーム、コードリポジトリにまたがる封じ込め対応を連携させる必要があります。認証情報の迅速な失効、OAuthセッションの終了、パイプラインの凍結、影響を受けたクラウドリソースの隔離といった対応が、AIによって統率された侵入が拡大する前に食い止めるための鍵となる可能性があります。

出現から24時間以内に、アクティブなマルウェアやフィッシングの最新情報でSOCを更新し続けましょう。 ANYRUNを使って早期検知でインシデントを未然に防ぎましょう。