中国語圏のハッカーが自律型AIエージェントを使い、100社以上の企業のウェブサイトを侵害していたことが分かりました。費やしたAIトークン代は推定5,000ドルとされています。
10月19日に公開されたReutersとNorForgeの調査により、1人の攻撃者が侵入作業の大半をソフトウェアに任せ、人手をほとんどかけずに攻撃を拡大していた実態が明らかになりました。
この攻撃キャンペーンは、1,200以上のウェブサイトへの侵入を試みていました。被害が確認された企業にはDeere、SharkNinja、Cummins などが含まれますが、影響を受けた環境や報告された被害の内容は企業ごとに異なります。Reutersは、不正に抜き取られたデータの範囲を特定できていません。
NorForgeの主任脅威リサーチャーであるSnorre Fagerland氏は、オープンソースの問題解決プラットフォーム「Cairn」の公開状態のインスタンスを調べている中で、この活動を発見しました。
一般公開されていた20以上のダッシュボードが悪意ある活動に関連しているとみられ、標的の指示内容、エージェントの判断、認証情報、悪用結果などが丸見えになっていました。
最も活発だった中国語圏のクラスターは「AIA0001」として追跡されており、関連する14のダッシュボードで1,100以上の攻撃プロジェクトを運用していました。
標的には、米国、カナダ、日本、オーストラリアのECサイトが含まれていました。NorForgeは、この攻撃者が後で収益化することを狙い、ショッピングや決済のインフラへの継続的なアクセスを求めていたと分析しています。
Cairnは、初期状態と目的を軸にプロジェクトを構成します。エージェントは、計画した行動を表す「インテント」と、発見事項を表す「ファクト」を生成します。
共有の「ブラックボード」により、ワーカーは発見事項を再利用し、仮説を修正し、別の攻撃経路を探ることができます。人間が常に指示を出す必要はありません。標的選定のパイプラインでは、Playwrightを使ってショッピングサイトが正常に動作しているかを確認していました。
指示では、認証不要のリモートコード実行、SQLインジェクション、安全でないデシリアライズ、認証バイパス、脆弱なアップロード機能が優先されていました。要求されたペイロードには、アクセスを維持するよう設計されたアップローダーシェルも含まれていました。
NorForgeは独自に、あるベンダーのウェブサイト上でアップローダーシェルの存在を確認しました。エージェントは、侵害の原因を、memcachedセッションストアへの不正な書き込みアクセス、PHPオブジェクトの安全でないデシリアライズ、そしてレガシーなZend Frameworkコンポーネントを含むガジェットチェーンだと分析していました。ただし研究者らは、すべての悪用手順を独自に検証したわけではありません。
公開状態だったワーカーのディレクトリには、Nmap、OWASP Amass、dnsrecon、ffuf、PHPGGC、Python、Dockerが入っていました。ワーカーの識別子からは、DeepSeekのモデルを使ったClaude Codeによるオーケストレーションが示唆されましたが、NorForgeはこの解釈を慎重に扱っています。
AIA0001のプロジェクトのうち、成功したものの所要時間は平均で23時間弱でした。NorForgeは、観測した攻撃キャンペーン全体で成功率を約10%と推定しています。ただし、目的が異なるため単純な比較はできないとも警告しています。
Reutersは、侵入1件の成功あたり約50ドルと報じました。一方、NorForgeは失敗も含めてタスク1件あたり約5ドルと見積もっています。実際のトークン消費記録が入手できなかったため、どちらのコスト推定にも不確実性が残ります。
Deereは、対策を実施したうえで、機密情報にアクセスされた形跡はないと説明しました。SharkNinjaは、影響を受けたのは独立した製品サポート用のウェブサイトだったと述べています。Cumminsは、影響を受けた可能性のあるサードパーティーベンダーのウェブサイトを調査しています。
ダッシュボードからは、数百件の認証情報などのシークレットも露出しており、TruffleHogは11%が有効だと確認しました。これにより、当初の侵入にとどまらない新たな露出が生じました。攻撃者自身が保護していなかったAIインフラが、被害者の機微な情報を公開状態にしてしまったのです。
注: IPアドレスやドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（例: [.]）しています。無害化を元に戻す場合は、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/ai-agents-breach-over-100-websites/
