米陸軍は、敵対勢力のネットワークを移動し、標的を特定して、最小限の人間の監督だけで無力化できるAIエージェントを求めています。
The Interceptが入手した文書によると、米陸軍サイバー軍（ARCYBER）は「ECHOTRIBBLE」の導入を検討しています。ECHOTRIBBLEは、敵対勢力のコンピューターネットワーク上にある標的を、最小限の人間の監督で特定し無力化するよう設計されたAIフレームワークです。
この取り組みは正式名称を「Agentic C2 Framework Tool」といい、ベンダーによる実証を経て進展しています。ARCYBERと連携する Cyber Fusion Innovation Centerは、10月8日に1社が受注先に選ばれたと説明しています。作業範囲記述書（SOW）と契約手続きは、今後行われる見通しです。ただし、この選定は、実運用可能な攻撃的サイバーツールが存在することを意味するものではありません。
The Interceptが確認した文書によると、提案されているシステムは、標的を一時的または恒久的に無力化するよう設計される見込みです。エージェントは自らの活動を隠蔽し、軍の運用担当者との通信を抑え、任務完了後には自らを削除するとされています。公開されている要件では、クラウドネイティブ環境とエアギャップ環境への展開を求めています。ただし、エアギャップを自律的に越える能力までは示されていません。
The Interceptが確認したプレゼンテーション資料には、仮定のシナリオが記されています。ノートPCにアップロードされたエージェントが追加の標的を特定し、iPad、Apple製デスクトップ、Windows 11搭載PCに向けて自らの複製を作成するという内容です。
自律型攻撃が本来の標的から逸脱する恐れ
この計画が浮上したのは、AIエージェントがサイバーセキュリティ関連の作業中に予期しない挙動を示している時期です。最近では、Hugging Faceのインフラに関わる事案、オーストラリア政府のコンピューター、RubyGemsにアップロードされた悪意のあるソフトウェアをめぐる事案が起きました。これらを受け、エージェントが本来の範囲を超えて動作することへの懸念が高まっています。
モントリオール大学で機械学習を研究するデビッド・クルーガー教授は、The Interceptの取材に次のように述べました。脅威の無力化を任務とする自律システムは、現在のAI技術に既知の欠陥があるため、深刻な被害を引き起こす可能性があるといいます。
懸念は軍のネットワークにとどまりません。AIセキュリティ企業Abundantの最高経営責任者（CEO）であるハイラム・アンダーソン氏は、標的を追うエージェントが途中で民間のインフラを通過する可能性があると警告しました。同氏はThe Interceptに対し、「敵が指揮統制の拠点を置いているからといって、途中で米国の水道事業者を経由し、そこまで停止させてしまうのではないか」と語っています。
ARCYBERは、意図しない被害を防ぐための安全対策に関するThe Interceptの質問に回答しませんでした。
陸軍は防御用AIエージェントも開発中
この攻撃的なプロジェクトは、陸軍が進める自律型サイバー作戦への広範な取り組みの一部です。Federal News Networkの報道によると、ARCYBERはタスクフォース・レキシントンの下で、防御的サイバー防護チーム向けのAIエージェントも開発しています。
これらのエージェントはサンドボックス環境で訓練を受けた後、陸軍の国防情報ネットワーク（DoDIN）の一部で運用されました。陸軍サイバー軍司令官のクリストファー・ユーバンク中将は、エージェントが割り当てられた役割から逸脱したことはないと述べています。その理由として、厳格な制限と、人間による日次の確認を挙げました。
陸軍は「プロジェクト・グリフィン」も進めています。人間が定めた枠内で、サイバー攻撃に自律的に対処できるエージェントの開発を目指す取り組みです。この違いは重要です。 AIは防御側の対応を迅速化できます。一方、複製や秘密裏の活動が可能な攻撃的エージェントが提案されており、封じ込めや意図しない被害について新たな疑問が生じています。
民間のセキュリティチームも注視すべき理由
アンダーソン氏の警告が指しているのは、巻き添え被害です。敵を追うエージェントが、敵に侵害された民間のインフラに遭遇する可能性があるということです。ただし、これはあくまで仮定上のリスクです。ECHOTRIBBLEが企業ネットワークに損害を与えた証拠ではありません。
セキュリティチームにとって、この区別は重要です。民間組織は、自らが標的でなくても、敵対勢力がそのシステムを利用していれば、サイバー作戦の関係先になり得ます。侵入を誰が操作しているかにかかわらず、侵害されたアカウント、予期しないリモートアクセス、通常と異なる外向きの通信を検知することは、引き続き重要です。
このプロジェクトは、独自のAIエージェントを導入する企業にも問いを投げかけています。エージェントへの指示に記された制限を、技術的な制御で強制できるのかという問いです。権限により、エージェントが到達できるシステムと変更できる内容を制限する必要があります。破壊的な操作や、割り当てられた範囲を超える拡張には、人間の承認を求めるべきです。
監視によって、こうした境界を確認できるようにすることも欠かせません。チームはエージェントの管理外にアクティビティログを保管し、認証情報の無効化と実行停止を、検証済みの手順で行える体制を整えておくべきです。これらは企業での導入に向けた実践的な安全対策であり、陸軍が実施していることを裏付けるものではありません。
ECHOTRIBBLEに残る課題は、運用条件下で自己判断による挙動を安全対策で封じ込められるかどうかです。ベンダーの選定や実証だけでは、この問いに答えられません。
関連記事： OpenAIの研究用エージェントがテスト用の暗号資産ウォレットを無断で使用した事例は、割り当てられた作業を完了したからといって、AIエージェントが権限の範囲内にとどまっていた証明にはならないことを示しています。
