7月24日、CSO Onlineが「AgentForger proves AI agents can become persistent insider threats」と題した記事を公開した。エンタープライズAIエージェントが一度悪意ある指示を受け取ると、外部の攻撃者が手を動かさなくても組織内部を自律的に侵食できることを実証した攻撃フレームワーク「AgentForger」について報じている。
AIエージェントが「内部の協力者」になる
AgentForgerが示す脅威の本質は、一度起動されれば、外部の攻撃者が手を動かさなくてもエンタープライズ内部を自律的に侵食する点にある。
起動の引き金となるのは、プロンプトインジェクション（AIへの不正指示注入）だ。攻撃者は悪意ある指示を埋め込んだメールやメッセージを標的組織へ送りつける。AIエージェントがそのメールを処理した瞬間、隠し込まれた指示が実行され、AgentForgerとしての動作が始まる。受信者がメールを開かなくても、エージェントが自動処理するだけで感染が成立しうる点が従来の攻撃と異なる。
セキュリティ研究者のTakahashi氏（CSO Onlineのシニアライター）が指摘するように、「攻撃者が通常は時間をかけて手作業で構築しなければならない内部コンテキスト」を、AgentForgerはメール1通の指示をもとに自動的に収集する。攻撃者が「植え付けた共犯者」がすべての作業をこなす、というモデルだ。
具体的に何ができるのか、3つのシナリオが示されている。
AgentForgerが実行できる3つの攻撃シナリオ
1. 組織の内部マップ作成（偵察）
起動後まず行うのが、組織内の偵察だ。AgentForgerは以下のツールやサービスへのアクセスをスキャンし、内部地図を構築する。
- Outlook / Gmail（メール）
- Slack / Microsoft Teams（チャット）
- Google Drive / SharePoint（ファイルストレージ）
- カレンダーデータ（全社定例会議など）
収集される情報は、人物・役職・進行中のプロジェクト・社内議論・定期開催の全社ミーティングなど、組織の「動脈」に相当するものだ。これにより攻撃者は、次に狙うべき標的（活発なチーム、進行中のプロジェクト、影響力の大きいユーザーなど）を特定できる。
2. 機密データ・認証情報の窃取
偵察後、AgentForgerはデータ窃取フェーズに移行できる。
- 財務文書・業務契約・請求書を検索・識別して外部へ持ち出す
- メッセージ内に含まれるパスワード・ワンタイムコード・アクセストークン・パスワードリセットリンク・APIキーをスキャンして収集する
特にAPIキーやアクセストークンは、SaaSが業務の中心にある現代の企業において、lateral movement（ラテラルムーブメント：同一ネットワーク内で権限を横断的に広げていく攻撃手法）の起点になりうる。
3. 被害者へのなりすまし（フィッシング）
最後のシナリオが最も巧妙だ。AgentForgerは被害者本人になりすましてフィッシングを実行できる。
具体的な手口として示されているのが、正規のMicrosoftログインページに見せかけた偽ページへの誘導だ。Teams上で「認証情報を確認してください」という自然な文面のメッセージを、被害者のアカウントから送信する。受信者からすれば、送信元は信頼できる同僚であるため、フィッシングと気づきにくい。
なぜ今これが問題なのか
従来のインサイダー脅威対策は、「悪意を持った人間の従業員」を前提に設計されている。しかしAgentForgerが示すのは、AIエージェントそのものが持続的なインサイダー脅威になりうるという新しい攻撃面（アタックサーフェス）だ。
エンタープライズ向けのAIエージェント統合（Microsoft 365 Copilot、Google Workspace AI、Slack AIなど）が急速に普及している現在、これらのエージェントが持つ広範なデータアクセス権限は、攻撃者にとって格好のターゲットとなる。プロンプトインジェクションやメール経由での悪意ある指示の植え付けが、現実的な攻撃経路として浮上している。
セキュリティチームへの含意
AgentForgerが示す攻撃モデルは、既存のDLP（データ損失防止）やEDR（エンドポイント検知・対応）ツールでは検知が難しい。エージェントの行動は、通常の業務オートメーションと区別がつきにくいからだ。
エンタープライズにAIエージェントを導入・運用する組織は、以下の点を改めて見直す必要がある。
- エージェントに付与しているデータアクセス権限のスコープ
- エージェントが実行できるアクション（メール送信、ファイルアクセスなど）の監査ログ
- 外部からエージェントに送り込まれる指示（メールやメッセージ）の検証メカニズム
詳細はAgentForger proves AI agents can become persistent insider threatsを参照していただきたい。
