Papercutを狙ったAIスワームによる攻撃、サイバーキルチェーンに変化の兆し

脅威インテリジェンス企業GreyNoiseが9月9日に公開した分析によると、8月末のわずかな時間帯に、ロシア語圏とみられる攻撃者がラボ環境で訓練した数百のAIエージェントを使い、インターネットに接続された印刷管理ソフトウェアPapercutのインスタンスを探し出して侵害し、さらにWindowsのActive Directory(AD)環境への便乗侵害を試みたことが分かりました。この攻撃は、48カ国395組織が保有する少なくとも440件のPaperCut NGおよびMFインスタンスにある2件の脆弱性を標的にしたと同社は述べています。

今回の事案で注目すべきは、このAIスワームが目的を達成するまでの圧倒的なスピードです。

GreyNoiseの研究者は分析の中で次のように述べています。「大規模言語モデル(LLM)が攻撃者により高速かつ大規模な行動を可能にしていることは明らかです。攻撃者は空のワークスペースから始め、わずか4時間足らずで実際の被害者に対する初のRCE(リモートコード実行)を達成し、さらに2時間後には初のAD管理者権限を獲得しました。そしてキャンペーン全体を開始してからは、わずか26秒で少なくとも11組織を侵害しています」

この攻撃は、偵察から侵害、ペイロード配信に至る一連のステップを示すモデルであるサイバーキルチェーンのあらゆる段階にAIエージェントを組み込む攻撃者側の進歩を示す、最新の事例です。そしてPapercutの事案は決して単発のものではありません。先週報告された別の事案では、攻撃者がネットワークを計画的に侵害し、認証情報を収集し、root権限を取得してペイロードを投下するまでの一連の流れを、チームとして機能する最先端のLLM群の支援を受けて実行していました。

さらに実際、9月8日にはGoogleが警告を発しています。最も先進的な攻撃者は攻撃ライフサイクル全体にエージェント型の能力を組み込みつつあり、それによって攻撃の効率性と再現性を高めているといいます。国家的な攻撃者が最も高度な手法を持ち、AIを攻撃ライフサイクルに組み込む可能性が高い一方で、オープンウェイトモデルが容易に入手できるようになったことで、こうした能力の利用は民主化しつつあると、Google Threat Intelligence Group(GTIG)のシニアマネージャーであるKelli Vanderlee氏は指摘します。

同氏は次のように述べています。「潤沢な資金を持つ国家支援型の攻撃者は、商用のAIツールや学習リソースへのアクセスという点で、金銭目的の攻撃者よりも先行している可能性が高いといえます。しかしもう一つの大きな違いは、この技術の能力を実験的に試そうとする意欲です。多くの脅威アクターはチャットボットに基本的な質問をしたりトラブルシューティングに使ったりする程度ですが、中にはより複雑な複数ステップのワークフローを構築している者もいます」

サプライチェーンに潜む悪意あるAI、最先端モデルの窃取

Googleによれば、脅威アクターは攻勢にAIスワームを用いるだけでなく、ソフトウェアサプライチェーンを利用して、企業のAIエージェントが構築するソフトウェアやスクリプトの中に自らのコードを忍び込ませています。また、中国と関係の深いUNC6508のような国家的な攻撃者は、知的財産やより高度なモデルを盗み出すため、最先端のAI研究を標的にしています。

National Cybersecurity Alliance(NCA)の情報セキュリティ・エンゲージメント担当ディレクターであるCliff Steinhauer氏は、偵察、脆弱性の発見、フィッシングキャンペーンの作成、弱点の特定といった攻撃ライフサイクルのあらゆるステップが、ますます自動化されつつあると述べています。

同氏はこう語ります。「完全自律型の攻撃について、責任を持って正確な時期を予測することは不可能です。しかし、そうした事態の到来を待たなくても、AIがすでにゲームのルールを変えつつあることは分かります。ハッカーはより強力な攻撃を大規模に実行できるようになり、防御側が対応に使える時間は確実に短くなっています」

さらに攻撃者側には、制御を失っても必ずしも敗北を意味しないという利点があり、その分自由に実験を重ねられます。今回のPapercutの大規模な侵害では、サイバー攻撃側は影響を及ぼす国を制限しようとしていましたが、GreyNoiseは「観測された被害の実態を見ると、この制限の試みは一部のケースで失敗していたことが分かります」と述べています。

Googleによれば、現時点では完全自動化された攻撃を仕掛けるコストの高さが攻撃者の行動範囲を制限していますが、今後はこうしたコストが低下していくとみられます。そして脅威アクターは、10年ほど前に横行したクラウド乗っ取りの手口を参考に、被害者自身のAI能力を乗っ取るケースがますます増えています。Googleが「LLMJacking」と呼ぶこのLLM乗っ取り手法は、攻撃の頻繁な目的の一つとなりつつあります。

GTIGの研究者は分析の中で次のように述べています。「攻撃者は開発者の認証情報を盗み、侵害されたAIプラットフォームのアカウントを購入し、企業のクラウドインフラを乗っ取ることで、許可されていない高性能コンピューティングのワークロードを実行しています」

基本的なセキュリティ衛生でAIによる攻撃に対抗する

こうした調査結果の中にも、明るい材料はあります。サイバーセキュリティの専門家は、AIを活用したエージェント型攻撃も、人間やボットによる攻撃と同じ基本的な衛生管理によって食い止められると強調しています。GTIGのVanderlee氏によると、多要素認証はIDやセッションの悪用を防ぐことができ、権限の制限やセッショントークンの有効期間短縮はラテラルムーブメント(横展開)を困難にし、異常な挙動の検知は脅威アクターが侵害された環境内で活動する能力を制限できるといいます。

同氏は次のように述べています。「脅威アクターがAIと自動化の力を借りて、より迅速にキャンペーンを実行できるようになっているのは事実です。しかし、長年培われてきたセキュリティの基本原則は今も変わらず有効です」

NCAのSteinhauer氏は、防御側はAIを活用する攻撃者の仕事をより困難にする方法を見つけ、人間が対応するために必要な時間を確保する必要があると付け加えます。

同氏はこう語ります。「企業は検知と対応の自動化に向けた方法を検討すべきですが、それは人間をその過程から排除することを意味しません。AIは膨大な量の情報を素早く処理できますが、経験豊富なセキュリティ専門家は、自動化システムが見落としがちな文脈や判断力をもたらしてくれます」