Google Threat Intelligence Groupの「2026年第3四半期 AI Threat Tracker」によると、AIエージェントは脆弱性スキャン、認証情報の窃取、トラブルシューティングなど、サイバー攻撃の一部を人間の関与を減らしながら自動化するようになっているといいます。
(出典: Google)
このレポートは、Mandiantのインシデント対応業務、脅威アクターの追跡調査、そして実運用プラットフォームでの防御実績をもとにまとめられたものです。研究者らは、攻撃者が単純なプロンプトの利用から、AIシステムが複数の関連タスクを一括して処理するワークフローへと移行していることを確認しました。
6時間で完結した認証情報窃取キャンペーン
2026年第2四半期、Mandiantはある組織のクラウドインフラを侵害し、自律型のマルチエージェントフレームワークを展開した、金銭目的とみられる脅威アクターの事案を調査しました。
攻撃者はAIコーディングチャットボットとプロンプト、エージェント指示書を用いて、大規模な認証情報窃取キャンペーンを計画・構築・実行し、これを6時間足らずで完了させました。この攻撃により、数千件に及ぶサードパーティの認証情報が侵害されました。
GTIGの研究者らは次のように記しています。「エージェント指示書により、AIは脆弱性スキャンのパイプラインを自律的に管理し、リアルタイムのトラブルシューティングを行い、手動介入なしにIPローテーションのロジックを実行できるようになっていました」
攻撃者は被害組織のクラウドインフラ内から活動しており、これにより攻撃トラフィックを正規のIPアドレス経由で通過させることができました。
AIサービスへのアクセス、およびそれを稼働させるために必要な計算資源の確保も、GTIGが追跡している脅威活動の一部となっています。
GTIGは次のように述べています。「生成AIツールを実験的に利用するには、脅威アクターはそれらのツールへのアクセス権を取得し、維持しなければなりません」「プレミアムモデルへのアクセスと高性能な計算資源のコストは、脅威アクターがAIの実運用化を図る上で主要な障壁の一つとなっています」
1台のサーバーから2万3,800件超の窃取済み機密情報を発見
GTIGは、「Recon」と呼ばれる自動偵察・認証情報管理フレームワークをホストする、外部に露出したコマンド&コントロール(C2)サーバーを特定しました。このサーバーは、AGENTS.md、KNOWLEDGE.md、agentic_vuln_research.mdといった設定・ナレッジファイルや、.openclaw/、memory/といったディレクトリを外部に晒していました。
(出典: Google)
検出直後、この露出したディレクトリは、クラウドサービスやAIサービスのAPIキーを含む2万3,800件超の窃取済み機密情報をリアルタイムで整理・検証・管理するために設計された、本番稼働中のダッシュボードであることが判明しました。
GTIGによれば、自律型エージェントは脆弱性を調査し、サーバー側インフラをスキャンし、標的を絞ったエクスプロイトを実行できるといいます。研究者らはこの活動を、「エンドポイントを標的とする受動的な情報窃取型マルウェアから、攻撃的なエージェント型の情報収集への移行」だと表現しています。
サイバースパイ活動を行うアクターも自動化フレームワークを実験
中国(PRC)と関連のあるサイバースパイ活動を行う脅威アクターは、Geminiを利用し、標的の状態を観察し、次に取るべき行動を推論し、予測不能な環境下でタスクを実行することを目的とした、動的な自動侵入テストフレームワークを設計していました。計画されていた探索機能には、ポートスキャンやサービスの解析などが含まれていました。この活動はフレームワークの構築を試みる段階にとどまっており、GTIGはこれに関連するアセットを無効化しています。
また別の事案では、中国(PRC)と関連のある、これとは異なるサイバースパイ活動を行う脅威アクターが、AI支援による自動エクスプロイトおよびポストエクスプロイト用パイプラインの構築を目指し、AI開発ツールを実験的に利用していました。
このアクターはCC Switchを用いてClaude、Gemini、Codexに問い合わせを行い、独自のエクスプロイトスクリプトの作成、スピアフィッシング用の誘い文句の生成、エラーのデバッグを実施していました。さらに、この作戦にはWebアプリケーションを調査し脆弱性を特定するためのBurp Suite、そして自動エクスプロイトのルーチンにはオープンソースの侵入テストフレームワークであるPhalanxも利用されていました。ポストエクスプロイト活動においては、コマンド&コントロールと認証情報窃取のためにShai-Huludが展開されていました。
完全自律型パイプラインの兆候は見られず
GTIGは、敵対的なエージェント型AIの採用が「脅威アクターによるAI利用がこうした用途へと進化しつつある可能性を示唆している」とする一方、「実環境の標的に対して完全自律型のパイプラインを展開する脅威アクターは、これまでのところ確認されていない」と述べています。
GTIGは「攻撃手法の段階的な成熟」が見られるとしており、敵対者は商用モデルやオープンウェイトモデルを用いて、公開された脆弱性情報とパッチ適用の遅れを実際に機能するNデイエクスプロイトコードへと変換し、制御された環境でペイロードを洗練させながら「機能する複数段階のエクスプロイトチェーンの構築に向けて」着実に進んでいるといいます。
研究者らは次のように結論付けています。「私たちは、実際の脅威監視から得られた知見を安全性分類器やガードレールに直接反映させることで、AIモデルの悪用対策を継続的に強化しています」
翻訳元: https://www.helpnetsecurity.com/2026/09/08/ai-agents-cyberattacks-automation-google-research/
