AIが標的ごとに攻撃を最適化し、まったく異なる攻撃手法を使い分けていました。
Palo Alto NetworksのUnit 42は本日、中国を拠点とする大規模な攻撃を追跡したと報告しました。攻撃者はオープンソースのAIペネトレーションテスト用フレームワーク「Cairn」を悪用し、少なくとも19の組織に対して25件の作戦を自律的に実行していました。Unit 42によると、攻撃者はCairnに中国製AIモデルのZhipu GLMとDeepSeekを組み合わせて武器化していました。
報告書によると、Unit 42は2026年8月から9月にかけてこれらの攻撃を監視しました。中国語を話す攻撃者は、標的となった企業のうち10社で不正アクセスに成功し、数十件の有効な認証情報を入手しています。ある企業では100万件を超えるレコードを取得しました。ほかの企業では軍や政府関係者の身元情報を入手し、複数の製品システムに永続的な管理者アカウントを作成しています。
さらに、クラウドストレージに認証なしでアクセスし、業界標準をめぐる投票の実際の投票用紙を上書きしました。別の欠陥を突いて任意の顧客としてログインし、会議、投票、バックオフィス機能に対する読み取り、書き込み、削除の権限も得ていました。
「悪夢のような話です」と、Dickson ResearchのプリンシパルアナリストであるFrank Dickson氏（LinkedIn）は語ります。「このキャンペーンは、最悪の意味で見事です」
同氏は、Unit 42の脅威研究者が攻撃の追跡に用いた詳細な手法を評価しています。
Unit 42は「マシンを分解し、その思考過程を示しました。共有ブラックボード、ファクト、インテント、人間によるヒント、さらには攻撃者が実際に使ったプロンプトまで明らかにしています」と、同氏は指摘します。「侵入で最もコストがかかるのは、常に人手でした。偵察、試行錯誤、そして忍耐です。その人手が今や、APIの利用料金の1項目になりました。Unit 42は、1人か少人数のグループがすべてを運用し、2週間で19組織を攻撃したとみています。作戦のなかには50時間以上続いたものもありました」
ニュースレター
AIのニュース、分析、インサイト
AIのリスクと恩恵に向き合うIT責任者向けに、当社各サイトの編集者がお届けする特別シリーズです。
AIの最新情報を毎週火曜日に配信
Unit 42の脅威リサーチ担当シニアディレクターであるAndy Piazza氏は、今回監視したキャンペーンによって、AIを動力とする世界規模の攻撃の影響範囲が、予測されていたとおり恐ろしいものだと示されたと述べました。
「いよいよその証拠が見え始めています。監視したキャンペーンは、今や1,000の組織と同時にやり取りできるからです」とPiazza氏は語ります。「境界防御を前提としたリスクモデルは捨てるべきだと思います。アトリビューション（攻撃者の特定）のモデルも完全に崩れます。攻撃の固有性を示すフィンガープリントを見つけるのは、これまでよりはるかに難しくなるでしょう」
コンサルティング会社AcceligenceのCEOであるJustin Greis氏も、AIが担えるようになった活動の幅広さから、このキャンペーンを懸念していると述べました。
「重要なのは、AIが侵入の調整役を担っている点です。各結果を踏まえて次に試す手を判断し、複数の標的を狙うのに必要な人手を減らしています」と同氏は話します。「これは標的選びの経済性を変えます。攻撃者は一つひとつの手順を自ら指示しなくても、より多くの組織に圧力をかけ続けられます。組織の脆弱性が変わらなくても、リスクは高まりかねません」
Greis氏は、改ざんされた投票用紙にも注意が必要だと指摘しました。侵入が、人々が意思決定の拠り所とする情報そのものを損なえることを示しているからです。「CISOはデータ窃取の検知に加え、重要なレコードや特権アクセスへの不正な変更も監視すべきです。インシデント後に信頼できる情報を検証し、復元できるかどうかも試しておく必要があります」と同氏は述べます。「レジリエンスには、事業の運営に使う情報が今も信頼できると確認できることも含まれます」
モデルの動作プロセス
報告書には、このキャンペーンの手法が詳しく記されています。「Cairnは共有ブラックボードを通じて活動を調整していました」と報告書は説明します。「エージェントはブラックボードを読み、調査結果をファクトとインテントのグラフとして書き戻します。人間のオペレーターは、必要に応じていつでもヒントを差し込んで作戦を誘導できます。確認済みの調査結果は不変のファクトとして蓄積され、エージェントは次の行動をインテントとしてキューに入れます。攻撃者は、香港にホストしたサーバーでCairnのカスタマイズ版フォークを実行し、米国には攻撃の出口兼ステージング用ノードを置いていました」
研究者らによると、モデルは標的ごとに異なる計画を立て、それぞれ3〜7段階で構成されていました。個々の作戦は20分から50時間以上にわたって続き、攻撃者による時間制限はありませんでした。中国製AIモデルについては、Cairnが特定のモデルに依存しない設計であり、攻撃者はZhipu GLM 5.2とDeepSeek V4 Flash/Proで作戦を実行したと指摘しています。
報告書は、不正行為を禁じようとするシステムを無力化するための攻撃者の工夫にも触れています。
「Cairnの標準のワーカー用プロンプトは、あらかじめモデルにいかなるタスクも拒否しないよう指示しています」と報告書は述べます。「攻撃者はこれを独自の許可の口実で補強しました。各作戦では、authorization.mdファイルも生成されていました。このファイルは作戦を許可済みと宣言し、攻撃者がタスクを作成する行為そのものを、クライアントが承認した業務として扱っていました。攻撃者は各タスクに組織のルートドメインを与え、フレームワークが攻撃対象領域を自律的に列挙できるようにしていました」
「攻撃者がここまで来ることは分かっていましたが、まだ先であってほしいと願っていました」とDickson氏は語ります。「AI攻撃エージェントは、失敗に終わった実験の段階から実際の侵害へと進化しました。それにかかった期間は、わずか3カ月ほどです」
