脅威グループは、盗んだAI認証情報や被害者のクラウド環境を悪用し、蒸留攻撃の実行やAIを活用した攻撃・侵害後活動のパイプライン構築を進めています。
国家に関与するサイバースパイグループとサイバー犯罪集団の双方が、侵入時にAI関連文書、設定ファイル、独自開発のモデルを標的にしています。さらに、LLMが持つ知識・ロジック・推論能力を標的型プロンプトによって抽出する「蒸留攻撃」も、件数・規模ともに増加しています。
「GTIGは、多様な動機を持つ攻撃者が独自開発のAIモデルやソースコードを標的にし、アプリケーションプログラミングインターフェース(API)の認証情報を窃取し、被害者のクラウド環境を乗っ取って不正なAIワークロードを維持している状況を確認しています」と、Google Threat Intelligence Group(GTIG)は先週公開した最新の四半期AI脅威トラッカーレポートで述べています。「この傾向は、モデルの重みからクラウドの計算リソース割り当てに至るまで、企業のAI資産がスパイ活動、恐喝、リソース窃取における高価値の標的となっていることを裏付けています」
こうした脅威活動の対象はAI研究機関だけにとどまりません。政府機関、軍、医療、メディア関連組織など、独自にモデルを訓練したりファインチューニングしたりする可能性がある組織も標的になっています。たとえ自らAIモデルを開発していなくても、RAGパイプラインからカスタムワークフロー、エージェント、認証情報に至るまで、価値の高いAI関連の独自データをシステム内に保有している組織は少なくありません。
標的となるAI認証情報
遡ること6月、GTIGはUNC6508という追跡名で知られる中国拠点のサイバースパイグループについて警告を発しました。同グループは学術・医療・防衛研究に関わる組織を標的にしていました。このグループが収集した情報にはAI研究に関するものも含まれていました。
UNC6508は、自らの利用目的でLLM基盤を展開するためにクラウド環境を侵害する行動も確認されており、LLMをローカルに展開する方法の調査やAIモデルの脆弱性の調査も行っていました。
2026年第2四半期、Googleのインシデント対応部門であるMandiantは、データ恐喝グループによる侵害事案を調査し、AIモデル、スキル、プロンプト、ソースコード、関連研究の窃取が絡む事案を確認しました。
ある事案では、脅威アクターが医療機関に侵入し、医薬品研究データやその他の企業データに加え、独自開発のAIモデルを窃取しました。別の事案では、攻撃者がAIメディア生成企業を侵害し、独自のソースコード、プロンプト、スキル、モデルスクリプト、シークレット情報を盗み出しました。
GTIGはレポートの中で、Google自身のAIモデルを標的とした蒸留攻撃キャンペーンの増加についても警告しています。これらの攻撃は、標的型プロンプトに対するモデルの出力を抽出し、その出力を使って別のモデルを訓練しようとするものです。Googleは、音声・動画・画像生成機能を標的とし、1億件を超えるプロンプトが関与するキャンペーンを確認しています。こうしたキャンペーンは、数千件にのぼる侵害済みアカウントの認証情報を使い、プロキシネットワークを通じて実行されています。
米国家安全保障局(NSA)、連邦捜査局(FBI)、サイバーセキュリティ・インフラセキュリティ庁(CISA)は先週、共同勧告を公表し、中国拠点のAI研究機関が米国のフロンティアAIモデルに対して産業規模の蒸留を行っていると指摘しました。
「フロンティアAIモデルと直接関係のない企業は、これを国家安全保障上の問題として自分たちには無関係だと考えがちですが、顧客やパートナーにモデルへのアクセスを提供している以上、APIキーやサービスアカウントは価値の高い標的となります。そうしたモデルへのアクセスの悪用は、正規の利用に見せかけて行われるのです」と、Arctic Wolfのラボリサーチおよびインテリジェンス部門バイスプレジデントであるIsmael Valenzuela氏はCSOに語っています。
攻撃者によるエージェント型AI活用の拡大
ハッカーは蒸留キャンペーンで盗んだAI関連認証情報を利用するだけでなく、AIエージェントによる高度な自動化を伴うその他の攻撃的作戦を自動化する目的でもこれらを必要としています。
Mandiantは、金銭目的の脅威アクターが侵害したクラウドインフラの認証情報を使って自律型のマルチエージェント攻撃フレームワークを展開する事例を確認しました。このリソースにより、攻撃者は6時間足らずで大規模な認証情報収集キャンペーンを計画・構築・実行できました。
「あらかじめ設定されたMarkdown形式の指示セットを運用プレイブックとして用い、脅威アクターは自動スキャンと認証情報収集を行い、数千件のサードパーティ認証情報を侵害しました」と研究者らは述べています。「このエージェント指示により、AIは脆弱性スキャンパイプラインを自律的に管理し、リアルタイムでのトラブルシューティングを行い、手動介入なしにIP(インターネットプロトコル)ローテーションのロジックを実行できるようになりました。これにより、人間が介在することによる遅延が大幅に削減されました」
GTIGの研究者らはまた、Reconと呼ばれる自動偵察・認証情報管理フレームワークも発見しました。これは稼働中のコマンド&コントロールサーバー上で使用され、クラウドインフラやAIサービス向けのAPIキーを含む23,000件を超える窃取済み認証情報を管理していました。
政府機関を標的にすることで知られる中国の脅威アクターも、AIを活用した攻撃・侵害後活動のパイプラインを構築している様子が確認されました。これは偵察から横展開のための認証情報収集まで、攻撃チェーン全体を自動化するものです。
「GTIGは引き続き、複数の地域にまたがる多様な動機を持つ脅威アクターによるAI技術の広範な採用と組み込みを確認しています」と研究者らは述べています。「脅威アクターは、偵察やフィッシングの誘い文句作成からC2開発、データ窃取に至るまで、作戦のあらゆる段階を強化するためにGeminiを悪用し続けています。前四半期の主な例としては、中国およびロシア系のスパイグループ、朝鮮民主主義人民共和国(DPRK)に起因する金銭目的およびスパイ関連の活動、金銭目的のサイバー犯罪グループ、国家が支援するIO(影響工作)グループなどが挙げられます」
こうしたグループの例には以下のようなものがあります。
- BASIN CASTLE:中国拠点のグループで、BASINまたはTEMP.Hexとしても知られる
- CALANQUE ION:イランの国家支援アクターで、APT42としても追跡される
- RAVINE CASTLE:中国のサイバースパイグループで、COULEEまたはAPT24としても知られる
- SANDWORM RELIC:ロシア国家に関連するサイバースパイアクターで、SANDWORMおよびAPT44としても知られる
- UNC6240:データ窃取恐喝グループで、ShinyHuntersとしても知られる
- MIDNIGHT NEPTUNE(別名UNC1069):暗号資産窃取で知られる北朝鮮の脅威グループ
「生成AIツールを実験的に利用するには、脅威アクターはそれらのツールへのアクセスを取得し、維持する必要があります」と研究者らは説明しています。「プレミアムモデルへのアクセスコストと高性能な計算リソースのコストは、AIの実用化を図ろうとする脅威アクターにとって主要な障壁の一つとなっています。その結果、サイバー犯罪コミュニティ全体でAIアカウントの標的化・窃取・売買が増加しており、それと同時に、計算リソースを乗っ取る目的(いわゆる「LLMJacking」)で企業のクラウド環境を侵害する侵入事案も増加しています」
