ハッカーがAIエージェントの安全性拒否機能を削除、サイバー兵器に転用

BlackHatSect0r && DXQRTXXを名乗るフランス語圏のサイバー犯罪集団が、セルフホスト型AIエージェントの安全制御を無効化し、そのシステムを悪用して大規模な認証情報窃取、標的の発見、フィッシング準備、攻撃の自動化を行っていたことが明らかになりました。

インターネットに公開されていたサーバーには、9,299個のファイルにわたり4.9GBのデータが含まれていたと報告されています。その中には、DXSCANという独自開発のGoベースの指揮統制(C2)プラットフォーム、16,834件の窃取済み認証情報を格納したボールト、フィッシングインフラ、恐喝用ツール、そしてオペレーターのシェル履歴などが含まれていました。

研究者らは、マルウェアを実行したり攻撃者が管理するシステムにログインしたりすることなく、静的解析、公開パネルの受動的な観察、公開情報の収集を通じてこのデータを検証したとしています。

データ復旧サービス

この攻撃活動の中心にあったのは、DeepSeekモデルに接続されたNous Research社のHermesエージェントでした。

オペレーターは、エージェントのメモリとアイデンティティ設定から「discernment retained(判断力を保持する)」という指示を削除し、それを無条件実行を要求する文言に置き換えたうえで、HERMES_DISABLE_SAFETY=1という環境変数を設定していたとされています。

その後、このエージェントは継続的なスキャン、秘密情報の探索、Telegramへの報告、ワークフローの自動化を行う運用レイヤーとして使用されていました。

この集団のDXSCANプラットフォームはポート8080で公開されており、国別に重み付けされたIPアドレス生成、Webサービスのフィンガープリンティング、設定ファイルのスキャン、認証情報の検証、Telegramへの通知機能を備えていたと報告されています。

そのスキャナーには、.env、YAML、JSON、PHP、WordPressの設定ファイルに含まれる秘密情報を検出するためのパターンが200種類以上組み込まれていました。

この攻撃活動では、275万件のドメインがキューに登録され、72万6,000台以上のホストに到達し、スキャン活動中に137万個以上のIPアドレスが生成されたとされています。

今回の証拠から、BlackHatSect0rの実際の能力は、目新しい脆弱性の悪用よりも、いまだ広く残るセキュリティ上の不備、すなわち公開クラウドバケット、公開された環境設定ファイル、ブラウザに同梱された鍵、デフォルトの署名用シークレットなどに依存していたことがうかがえます。

研究者らは、データセット内で確認された侵害のすべてが、これらの経路のいずれかを辿っていたことを突き止めました。

この点は重要です。なぜなら、組織が未知のゼロデイ脆弱性に備えるよりも、日常的な設定管理を徹底するだけで、攻撃を受ける可能性を大幅に低減できることを意味しているからです。

特に懸念される二次的な攻撃活動として、フランスの高齢の通信サービス加入者を狙ったビッシング(音声フィッシング)キャンペーンがあったとされています。

この集団は、身元情報、電話番号、加入者情報、銀行の識別情報を含む、およそ45万件のレコードからなるデータベースを保有していたとされています。

サヴォワ県およびオート=サヴォワ県に住む50歳以上の1,697人を対象に絞り込んだデータが用意され、ソシエテ・ジェネラル銀行を装った不正利用アラートと組み合わせて、受信者に攻撃者が管理する電話番号へかけさせるよう仕向けていました。

悪意のあるリンクや添付ファイルを使わないことで、この誘導手口は多くの従来型メールセキュリティ対策をすり抜けることができました。

クラウドセキュリティソリューション

このインフラには、公共部門や金融サービスを標的とするツールも含まれていました。フランスの各機関に対する攻撃活動とされるもの、ニューヨークの公的機関を名指しした恐喝用ポータル、そして「secret」という文字通りの署名用シークレットを使用していたとされる暗号資産取引所を狙ったJWT偽造ツールなどが確認されています。

Socradarの研究者らによれば、この事案は、オペレーターが拒否ロジック、秘密情報の秘匿処理、承認要件を意図的に取り除いた場合、エージェント型AIがどのようにコモディティ化したサイバー犯罪を増幅させうるかを示しているといいます。

サイバー兵器と化したAIエージェント

研究者らは、特に被害者名が挙げられている公開情報については、検証済みのアクセス証拠とは切り離して扱うべきだと注意を促しています。

この攻撃者による脆弱性悪用の実績には誇張が見られるようです。ツールキットには、公開済みでしばしば古い脆弱性に加え、誤って分類されたCVEや未完成のモジュールが含まれていました。

関連する脆弱性の一つであるCVE-2026-42530は、NGINXのHTTP/3におけるQPACK処理に存在する実際のuse-after-free(解放後使用)の欠陥で、HTTP/3モジュールが有効な場合にNGINX Open Sourceのバージョン1.31.0から1.31.1に影響します。この脆弱性はバージョン1.31.2で修正されています。

セキュリティチームは、インターネットに公開された資産全体、特に公開された.envファイル、Gitリポジトリ、クラウドオブジェクトストレージ、CI/CDの成果物、フロントエンドのJavaScriptバンドルにおける秘密情報の露出検出を優先すべきです。

デフォルトのJWTシークレット、静的な暗号鍵素材、クライアント側のトークン生成ロジックについては、直ちに修正すべき最優先事項として扱う必要があります。

また各チームは、SOUL.md、.hermes/ディレクトリ、HERMES_DISABLE_SAFETY=1、そしてghost_で始まる不審なプロセスなど、管理用ホストやスキャン用ホスト上にある通常とは異なるAIエージェント関連の痕跡を調査すべきです。

これらの兆候は、攻撃目的の自動化のために改変された、ローカルに展開されたエージェント型フレームワークの存在を明らかにする可能性があります。

組織は、漏えいした認証情報を含むファイルやリポジトリを単に削除するだけでなく、直ちにローテーション(更新)すべきです。

これには、クラウドアクセスキー、SMTP認証情報、APIトークン、データベースのパスワード、JWT署名用素材、OAuthシークレット、アプリケーション暗号化キーなどが含まれます。

インターネットに公開されているストレージについては、匿名での読み取り・書き込みアクセスが可能になっていないか点検する必要があり、環境設定ファイルや設定のバックアップはWebからのアクセスをブロックすべきです。

開発環境や本番前環境についても、本番環境と同様の厳格な露出管理を行うべきです。これらの環境には、実運用の認証情報や複製されたデータセットが保管されていることが少なくないためです。

HTTP/3を使用しているNGINX環境では、CVE-2026-42530に対するパッチ適用状況を確認する必要があります。

この脆弱性はHTTP/3のQUICモジュールに影響し、ワーカープロセスの再起動を引き起こす可能性があるほか、一定の条件下ではコード実行につながる恐れもあります。NGINX Open Sourceのバージョン1.31.2以降へのアップグレードが適切な対策となります。

BlackHatSect0rの事案は、より広範な運用上の現実を浮き彫りにしています。すなわち、サイバー犯罪をより危険なものにするために、AIがゼロデイ脆弱性を発見する必要は必ずしもないということです。

露出した秘密情報、脆弱なクラウド設定、自動化されたスキャン、ソーシャルエンジニアリングと組み合わさることで、制約のないエージェントは本来防げたはずのセキュリティ上の負債を、大量の攻撃を生み出すパイプラインへと変えてしまう恐れがあります。

クラウドセキュリティソリューション

侵害指標(IOC)

注: IPアドレスおよびドメイン名は、意図せぬ名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(defang、例: [.])としています。再度有効な表記に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤上でのみ行ってください。

SOCのアラート調査時間を1件あたり21分短縮。即座のインシデント対応を実現するIOCコンテキストでSOCを強化: TI Lookupを自社のSOCに統合する