CrowdStrikeによると、攻撃者はエージェント型AIをより高度な方法で活用し、ハッキングキャンペーンの一部を自動化しています。
同社は水曜日に公開したレポートで、次のように述べています。「2026年、CrowdStrike Intelligenceは、攻撃者がツールや成果物の作成にとどまらず、AIエージェントが判断とコマンド実行を行うエージェント型キャンペーンを展開した事例を複数確認しました」
レポートでは4つの攻撃グループの活動を詳述しています。うち2グループは高度なAIハーネス（大規模言語モデルを外部リソースに接続し、エージェントとしての能力を与えるソフトウェア）を使い、残る2グループはより単純なハーネスを使っていました。
CrowdStrikeによると、単純なハーネスを使った2グループも「多数の組織」への侵入に成功しました。同社は「AIが主導する侵入キャンペーンを拡大するうえで、最大の障壁は技術的な複雑さではなくトークン予算であることを示している」と指摘しています。
セキュリティ専門家は長年、ハッカーがいずれ高度な方法でAIの能力を武器化すると予測してきました。フィッシングメールの改善にとどまらず、かつては人間から機械へ引き継ぐには複雑すぎた作業の自動化へ進むという見立てです。CrowdStrikeのレポートは、AIを使ったハッキング手法がこうした進化をたどっていることを示す新たな証拠です。企業に対しては、執拗さを増す攻撃者の先を行くため、防御を急いで刷新する必要があるという警告にもなっています。
CrowdStrikeはレポートで、次のように説明しています。「こうした委任により、AIは一部の人間の攻撃者より高速に、かつ長時間にわたって動作できる可能性があります」。さらに、攻撃の高速化にとどまらず、「AIは、攻撃者が用意したプレイブックの指針に明示されていない問題も解決しました」と述べています。
自動ハッキングのための綿密な手順
ある事例でCrowdStrikeは、スペイン語と英語を話す攻撃者が、ペネトレーションテスト用のハーネスを使ってアルゼンチンの医療機関を標的にしていたことを確認しました。このキャンペーンでは少なくとも15の組織への侵入に成功し、うち少なくとも1つの標的からパスワードのほか、診療記録などの機密データが盗まれました。攻撃にあたり、攻撃者は1つのAnthropic Claude Codeエージェントに監督役を務めさせ、2つ目のエージェントにタスクを割り当てさせました。さらに、オープンソースのフレームワークであるPentestGPTに、追加のハッキング用スクリプトと機能を組み込んで改変していました。CrowdStrikeによると、この活動は5月中旬から8月中旬にかけて確認されました。
レポートによれば、この攻撃者のAIエージェントは、ある被害者のネットワークから別のネットワークへ自動的にピボット（横展開）していました。また、ある手法から別の手法へも自動で切り替えていました。具体的には、盗んだハッシュ化パスワードの再利用を試みた後、Windowsの機能を使って被害者のドメインコントローラーから攻撃者のインフラへの接続を密かに開き、5件のパスワードを盗み出しています。
別の攻撃者もClaude Codeを使ってペネトレーションテスト用フレームワークを制御していましたが、こちらはより幅広いサイバー攻撃に用いていました。CrowdStrikeによると、この攻撃者は中国語を話し、用途に応じて2つのAIハーネスを使い分けていました。一方のハーネスは、攻撃対象候補の偵察を自動で実施し、ほかのエージェントにハッキングのタスクを割り当てます。このハーネスは状況に応じてハッキング作戦ごとに異なるアプローチを用意しており、CrowdStrikeは、Claude Codeが「綿密な標準作業手順書」に従って単独で標的に侵入できる場合もあったと説明しています。別の状況では、このエージェントが「専門エージェント」に「作業を委任」できました。主力ツールはClaudeでしたが、攻撃者はOpenAIのChatGPTなどのサービスを使うためのインフラも構築していました。
この2番目の攻撃者は、ブラジルとコロンビアの政府機関のほか、テクノロジー、バイオテクノロジー、小売など複数の業種にわたるブラジルと米国の企業を標的にしました。
「私の助けに頼るな」
基本的なエージェント型AIの機能しか使わない2つの攻撃者も、攻撃を成功させました。
その1つであるインドネシア語話者の攻撃者は、主に公開GitHubリポジトリから集めた800以上のAIスキルを使い、Claude Codeにハッキング作戦を実行させていました。より高度な攻撃者とは異なり、このグループは独自のオーケストレーションを一切加えず、既製のスキルだけに頼っていました。CrowdStrikeのレポートによると、攻撃者はClaudeに「バイパス方法は自分で見つけろ。私の助けには頼るな」と指示していました。
こうした任せきりの手法は、ときに問題を招きました。CrowdStrikeによると、攻撃者はスキルがあらゆる侵入でエージェントを導いてくれると想定していたものの、安全対策のガードレールを回避したり、エージェントに「特定の障壁を乗り越え」させたりするために、自ら介入せざるを得ない場面もありました。
それでもこのキャンペーンにより、インドネシアとバングラデシュの政府機関が侵害されたほか、CrowdStrikeが詳細を明らかにしていない民間企業も被害を受けました。
単純なエージェント機能を使うもう1つの攻撃者はロシア語話者で、攻撃を実行するための7項目のToDoリストをClaude Codeに与えていました。攻撃者はエージェントに、最適と判断した侵入手法を選ぶ「ほぼ完全な自律性」を与えていました。リモートコード実行が可能になった後の行動については、大まかな指示しか出していません。インドネシア語話者の攻撃者と同様、このロシア語話者の攻撃者も、追加のオーケストレーション手順は適用していませんでした。
CrowdStrikeは、このロシア語話者の攻撃者がサイバー犯罪エコシステムの一員である可能性が高いとみています。エージェント型ワークフローが、Claude Codeに対し、3人へ活動状況を通知するよう指示しており、3人全員がサイバー犯罪活動に関与しているためです。
このロシア語話者の攻撃者の攻撃では、米国のヘルプデスクプラットフォームから「企業顧客のデータ」が盗まれました。ウクライナの政府機関や、複数の国のSaaS企業など、ほかにも複数の組織が侵害されています。
防御側への警告
CrowdStrikeは企業に対し、エージェント型AIを使ったサイバー攻撃は今後1年で「ほぼ確実に件数と巧妙さの両面で増加する」と警告しています。
CrowdStrikeのアナリストはレポートで、「推論コストが下がり、モデルのコンテキストウィンドウが拡大するにつれ、トークン予算の制約も同様に弱まり、より多くの攻撃者が作戦を拡大できるようになる」と記しています。
同社のデータでは、エージェント型の侵入は2026年下半期に、上半期の3倍に増える見通しだといいます。
CrowdStrikeは「2026年8月は、エージェント型とみられるインシデントが2026年7月の2倍超に達し、2026年9月は2026年8月の2倍に達しました」と述べています。
レポートによると、今後12か月でエージェント型AIは、スキルの低いハッカーを支援し、高度なサイバー犯罪グループや国家レベルのチームに匹敵する能力を持たせるようになります。アナリストは、こうしたキャンペーンには今後も素人じみたミスが多く残るとしつつも、「その規模の大きさ」だけで脅威環境は一段と危険になると記しています。
翻訳元: https://www.cybersecuritydive.com/news/agentic-ai-cyberattacks-harnesses-crowdstrike/833714/
