正体不明の攻撃者が、インターネットに公開されたAI侵入プラットフォーム「Cairn」を乗っ取り、そのハッキングエージェントを、プラットフォームを稼働させているシステム自身に向けて悪用しています。
攻撃者が仕掛けた悪意あるタスクは、エージェントに対して、機密情報の収集、不正なSSH鍵のインストール、マルウェアのダウンロードを指示するものでした。少なくとも17台の公開Cairn管理パネルが、不審なタスクを受け取っています。
被害を受けたシステムには、攻撃者とみられる人物が運用するインフラのほか、セキュリティ研究者、レッドチーム、CTF（キャプチャー・ザ・フラッグ）の参加者が使うシステムも含まれていました。
攻撃キャンペーンは2026年10月20日ごろに活発化しました。ただし、関連の可能性がある偵察活動は、早くも10月10日に確認されています。
研究者は、AIA0009とAIA0010という2つの活動クラスターを特定しましたが、運用者が誰なのかは突き止めていません。
Cairnでは、運用者がAIエージェントの目標と開始地点を定義できます。エージェントはタスクを実行し、その結果を管理パネル内に「ファクト」として表示される形で記録します。
アクセス制御がない場合、パネルに到達できる人物なら誰でも、プロジェクトの作成、調査結果の閲覧、既存タスクの停止や削除ができてしまいます。攻撃者はこの操作権限を悪用し、エージェントの矛先を外部の標的ではなく、エージェント自身が動作するローカル環境へと向け直しました。
AIA0009は、ランダムな16進数の接尾辞を含むタスク名を使用していました。このクラスターの活動は、Cairnのインストール環境の特定、永続的なアクセスの確立、マルウェアの展開に集中しています。一部のプローブには「cairnscan」というマーカーが含まれており、公開されたインスタンスを体系的に探索していたとみられます。
AIA0010は、「i014」のように、Cairn内部のインテント識別子に似たラベルを使用していました。このクラスターは、インフラの探索、認証情報の収集、内部サービスの調査、そして他の公開Cairnパネルのスキャンに重点を置いています。
偵察タスクでは、ユーザー名、ホスト名、環境変数、待ち受けポート、設定ファイルが収集されました。
一部のタスクは、エージェントにコマンドの出力全体をファクトとして公開するよう指示していました。すでに誰でもアクセスできる状態のパネルを通じて、APIキーや認証トークンが漏えいする恐れがあります。
このほか、コンテナの制限、マウントされたファイルシステム、Linuxのケーパビリティ、Dockerソケットを調べるタスクもありました。ただし、攻撃者がコンテナからの脱出に成功したかどうかは、研究者も確認できていません。
ホスト上で直接エージェントを動かしているシステムでは、より広範な侵害への道筋はさらに単純でした。注入されたタスクが、攻撃者の管理下にあるSSH公開鍵をkaliアカウントに追加し、不正なログイン手段を作り出したのです。
10月21日21時15分（UTC）、研究者は「Local worker maintenance」という名前のタスクが、Base64でエンコードされたシェルスクリプトを配信する様子を観測しました。
このスクリプトは、x86_64のLinux環境かどうかを確認したうえで、worker-healthという名前のバイナリをダウンロードし、SHA-256ハッシュを検証してから、バックグラウンドで起動します。
この実行ファイルは、オープンソースのフレームワーク「Mythic」に関連するGo言語製のリモートアクセスツール、Poseidonインプラントでした。
研究者は、複数のケースでエージェントがこのマルウェアを実際に実行したことを確認しています。インプラントは、コマンド&コントロール（C2）通信にBunny.netのコンテンツ配信ネットワークのアドレスを使用していました。
更新されたタスクは、指定された停止ファイルが現れるまで稼働を続けました。研究者は、これがエージェントのワークスペースを維持し、マルウェアの活動期間を延ばす役割を果たしたとみています。NorForgeが報告しました。
注: IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（[.]など）しています。無害化を元に戻す際は、MISP、VirusTotal、お使いのSIEMなど、管理された脅威インテリジェンス基盤の内部に限定してください。
1万6,000以上のSOCチームが、ANY.RUNを活用して脅威調査を効率化し、手作業の負担を減らしています。チームで試してみる
翻訳元: https://cyberpress.org/hackers-hijack-ai-agents/
