8月2日、ForbesのZak Doffmanが「DeepSeek-Powered AI Used To Launch Attacks」と題した記事を公開した。中国系脅威アクターがDeepSeekを搭載したAIエージェントを使い、脆弱なサーバーへの攻撃を自律的に実行した事例を詳報している。

DeepSeek駆動のエージェントが自律的にサーバーを狙った

Palo Alto Networksのセキュリティリサーチ部門であるUnit 42が報告したこの事例では、中国系脅威アクターが「Hermes Agent」と呼ばれるDeepSeekベースのAIエージェントを使い、脆弱なサーバーを標的にした攻撃を仕掛けた。Hermes AgentはUnit 42がこの攻撃キャンペーンで観測したエージェントフレームワークに付与したコードネームであり、公開ツールではなく攻撃者が独自に構築したものとされている。

エージェントの挙動が具体的で興味深い。標的の選定、エクスプロイトのダウンロード、そして攻撃が失敗した際のコース変更——これらを人間の介入なしに自律実行した。Unit 42によれば、「数百時間分の手動ターゲティング分析を数分で完了し、自らのコンピュートリソースまで管理した」という。

今回は認証によってエージェントが止まり、標的の実際の侵害には至らなかった。Unit 42はこの失敗の余裕を「narrow（ぎりぎり）」と表現している。

「エージェントは疲れない。ただコースを変えて再試行する」

記事が強調するのは、防御側が直面する非対称性だ。

サイバーセキュリティの防御成功率が**99%**であっても、残り1%は何千もの標的に対して繰り返しテストされる。人間の攻撃者であれば疲弊・諦めるが、AIエージェントは止まらない。物理的な攻撃の世界では「防御側は毎回成功する必要があるが、攻撃側は一度成功すれば十分」という原則が長く語られてきたが、自律的・反復的なAI攻撃はこの非対称性をさらに悪化させる。

Zero Trustは「エージェントの解釈」を制御できない

この事例がセキュリティエンジニアにとって重要なのは、**Zero Trust（ゼロトラスト）アーキテクチャの限界**を具体的に示している点だ。

ゼロトラストとは、ネットワーク内外を問わず全アクセスを検証する設計思想で、現在多くの企業が採用している。今回はゼロトラストが機能して攻撃を止めたが、記事はそれを単純な成功事例として扱わない。

Zak Doffmanはこう指摘する。「既存のコントロールはアクセスの検証とエクスプロイトのブロックはできる。しかし、エージェントが自らの権限をどう解釈し、どう行動するかは制御できない」。

Identity（身元）は認証できても、そのエージェントに与えられたAuthority（権限）が適切かどうかは別問題だ。記事は、権限は独立して検証可能・失効可能・時間制限付きである必要があり、エージェント自身も運用プラットフォームも制御できないシグナルに基づいて継続的にチェックされなければならないと論じる。

攻撃者のインフラも露出した

皮肉な点として、今回のエージェントは攻撃者自身のインフラも暴露した。APIキー、エクスプロイトコード、標的リスト、攻撃ログがすべて露出している。

Unit 42の分析によれば、これはエージェントが自律的に行動した副産物であり、人間のオペレーターが逐一関与していれば防げた情報漏洩だった可能性が高い。攻撃者側も「自律運用」のリスクを十分に制御できていなかったことを示す事例として、防御側にとっては脅威の構造を把握する貴重な手がかりとなった。

記事はこれを「rogue AI（暴走したAI）ではなく、人間の監督なしに動作することを許可されたAI」と位置づける。誤作動ではなく、意図的に自律運用させたことが問題の核心だという指摘だ。

「これは一度きりの事例では終わらない」

現時点では個別事例として報告できる段階だが、Zak Doffmanはこの脅威が「我々がコントロールできる速度より速くスケールする」と断言する。AIエージェントによる攻撃は改善・反復を重ねながら産業化される——というのが記事の結論だ。

詳細はDeepSeek-Powered AI Used To Launch Attacksを参照していただきたい。