AIエージェントが企業ネットワークを10時間で侵害

ある脅威アクターがAIエージェントを利用し、通常であれば人間の作業で約2週間かかるとPalo Alto Networksが試算する企業侵入を、10時間足らずで完了させました。

Palo Alto NetworksのUnit 42によると、この事案ではMITRE ATT&CKフレームワークにマッピングされる50種類以上の手法が使用されましたが、手法自体は特に目新しいものではありませんでした。大きく変わったのは、AIエージェントがこれらの手法をどれほど迅速に実行し、結果を評価し、次の行動を判断できるかという点でした。

Unit 42によると、身代金交渉の際、攻撃者はフロンティアAIモデルと攻撃専用のエージェント型フレームワークを使用したと主張していました。研究者らは、複数のAIエージェントが並行して稼働していたことや、セッション間で情報を受け渡すための構造化ファイルが使われていたことなど、AI支援による攻撃と一致する複数の痕跡も発見しています。

攻撃は、外部に公開されたWebサービスの侵害から始まり、その後被害組織内部のマイクロサービスが自動的にマッピングされました。続いてAIサブエージェントがコードリポジトリをハードコードされた認証情報がないか検索し、窃取したトークンを使って組織のシークレット管理システムにアクセスしました。

このアクセスにより、最終的に管理者権限の認証情報が露出し、攻撃者は環境のさらに奥深くへと侵入できるようになりました。

コードリポジトリからAIインフラへ

次に攻撃者はCI/CDワークフローを悪用してクラウドアクセスキーを取得しました。またTerraformの設定を改変してバックドアを仕込もうとしましたが、ブランチ保護機能によってこの変更は阻止されました。

その後、窃取したクラウド認証情報を使って同社のAIサービスへのアクセスが行われ、被害組織自身の計算インフラが、継続的な悪意ある活動のためのリソースとして事実上乗っ取られる形となりました。

Unit 42は今回の攻撃について、攻撃的ハッキングにおける画期的な進歩というよりは「AIによる作戦効率化」だと表現しています。「攻撃者は戦術面の実行をAIエージェントに委ね、AIエージェントはリアルタイムで監視・評価・行動・再計画を行い、攻撃チェーン全体を通じて速度を高めていきました」と研究者らは述べています。

Unit 42によると、攻撃者はさらにAIエージェントに指示を出し、この侵入で悪用された数十件のセキュリティ上の発見事項をまとめた80ページに及ぶ技術レポートを作成させていました。

より大きなセキュリティ上の問題

今回の事案は、サイバー攻撃が完全に自律化したことを証明するものではありません。Greyhound ResearchのSanchit Vir Gogia氏がCSO Onlineに語ったところによれば、「証拠が示しているのは、人間が指揮を執り、AIが委任された戦術面の作業を統率した侵入です」とのことです。

目下の危険は、必ずしもAIが攻撃者に取って代わることではなく、かつては相当な時間と人員を要した戦術作業の量を、たった一人で統率できるようになってしまうことにあります。

「企業に必ずしも新しい脅威モデルが必要なわけではありませんが、新しい時間感覚のもとで動く必要はあります」と、IDC Asia Pacific Cybersecurity ServicesのSakshi Grover氏はCSO Onlineに語っています。

セキュリティチームが直面する新たな競争

今回の事案はまた、なぜ組織が防御態勢をシステム単位で個別に評価することができないのかも示しています。例えば、侵害されたリポジトリアカウント1つが、信頼された各種ワークフローを経由してクラウド権限へと至る経路になり得るのです。

「それぞれのプラットフォームには対策が講じられていたかもしれませんが、それらの間の関係性が悪用可能な経路を作り出してしまいました」とGrover氏は述べています。

そのため、迅速な封じ込めがこれまで以上に重要になっています。セキュリティチームは自動化されたプレイブックを活用し、複数の環境にまたがって認証情報の失効、セッションの終了、CI/CD活動の停止、クラウドリソースの隔離を行うべきです。また組織は自社のAIエンドポイントとAPIキーを棚卸しし、最小権限アクセスを徹底し、Infrastructure as Codeのリポジトリを不正な変更から保護する必要があります。

関連記事: 2026年版Verizon DBIRは、AI、ランサムウェア、そして攻撃者による信頼されたインフラの悪用が、企業の侵害リスクをどのように再形成しているかを解説しています。