エージェント型AI攻撃:プロンプト操作から自律行動への進化

自動化された偵察・認証情報管理フレームワーク

攻撃における人工知能の役割は、もはや定型作業を加速させるだけの存在ではなくなり、攻撃工程の一部分をまるごと担うようになっています。9月8日、Google Threat Intelligence Group(GTIG)は、単発のプロンプト操作から、攻撃の複数段階を連結し人間の関与を大幅に減らすエージェント型システムへの移行について報告しました。ある攻撃パイプラインは6時間足らずで構築・実行されたといい、その詳細は同グループによる敵対的AIの進化に関する分析で明らかにされています。

クラウド侵害から認証情報の大量窃取へ

攻撃者はクラウドリソースを侵害した後、脆弱なサービスを探索し認証情報を大量に収集するためにマルチエージェントシステムを展開しました。AI自体がスキャンを制御し、自らのエラーを修正し、IPアドレスをローテーションさせていました。最終的にこのキャンペーンでは数千件のサードパーティ認証情報が侵害され、GTIGが発見した偵察用パネルには、クラウドサービスやAIサービスのAPIキーを含む23,800件を超える窃取済みの機密情報が処理されていました。

ソフトウェアサプライチェーンの汚染

もう一つの攻撃経路はソフトウェア開発に関するものです。UNC6780というグループは、プロジェクトの設定ファイルやJavaScriptのコメント内に悪意ある指示を潜ませていました。これによりプロンプトインジェクションを通じてAIアシスタントにコマンドを実行させたり、LLMを用いたスキャナーの解析を狂わせたりしていたのです。4月にはReversingLabsが同様の脅威を発見しており、Claude Opusが暗号資産関連プロジェクトに悪意あるライブラリを持ち込むコミットの共著者にされていたことが報告されています。

攻撃対象そのものと化すAIシステム

同時に、AIシステム自体が標的として狙われるケースも増えています。Mandiantは、複数業界にまたがる企業からモデルやソースコード、プロンプト、研究成果が窃取された事案を調査しました。またGoogleは、蒸留(distillation)という手法を通じてクローズドモデルの能力を他のシステムへ移植しようとする試みも確認しています。中には1億件を超えるリクエストが送られ、侵害された、あるいは偽装されたアカウントが数千件も使われたキャンペーンもあったといいます。

LLMjackingの拡大

コストの高いAI演算処理のために他人のクラウドリソースを不正利用する「LLMjacking」も同様に増加しています。4月には、ある攻撃者が外部に露出していたGitHubトークンを通じてクラウドに侵入し、Gemini Enterpriseを有効化した上で編集者権限を持つサービスアカウントを作成し、NVIDIA RTX 6000の追加割り当てを要求しました。一方、闇市場ではAIサービスのアカウント価格が2026年に入り2倍以上に高騰しています。

それでも人間の手は離れていない

ここまで自動化が進んでいるとはいえ、GTIGは実在の標的に対する完全自律型の攻撃はまだ確認していません。攻撃者は現在、公開された脆弱性情報をこれまで以上に迅速に実用的なNデイエクスプロイトへと変換し、AIモデルを攻撃用ツールに組み込んでいます。それでもなお、攻撃の方向性を定め、重要な段階を制御しているのは人間です。Googleはこれに対し、関連アカウントの遮断とGeminiの保護機能強化によって対応を進めています。