8月13日、Pierluigi Paganiniが「China-Linked Hackers Use AI Agents in Autonomous Attack on Taiwan」と題した記事を公開した。中国系ハッカーが8体のAIエージェントを用いてほぼ人間の介入なしに台湾政府ネットワークを攻撃したとされる事案で、イスラエルのサイバーセキュリティ企業 Dream がこれを「政府ネットワークを標的とした完全自律型・エンドツーエンドのAIハッキング作戦の初事例」と記録している。
「ペネトレーションテスト」と偽ってAIの安全機構を突破
7月上旬の4日間にわたり、中国系ハッカーと疑われる攻撃者たちが、公開されているAIエージェントフレームワークのみで構築されたツールを稼働させた。
ツールをAIに実行させるために使われた手口は、コードの脆弱性ではなく「嘘」だった。攻撃者はAIモデルの安全ガードレールを、攻撃キャンペーン全体を「承認済みのペネトレーションテスト」として提示することで回避したとされる。モデルはその主張を検証・拒否する信頼できる手段を持っていなかったようだ。「助けようとするシステムに、いかに説得力を持って嘘をつけるか」という種類の脆弱性である。
自律的に戦術を切り替えながら攻撃
このツールは政府系システム21件の構造をマッピングし、脆弱性を探索し、行き詰まると自律的に戦術を切り替えた。
最も注目すべき点はその意思決定の仕組みだ。 ツールは新たな証拠が得られるたびに攻撃経路を再ランキング・再優先化し、ある経路が行き詰まると別のエージェントを起動してインターネット検索を行い、新たなアプローチを試みる。人間のレッドチーマーが行う反復的なプロセスと同じだが、誰も眠らない。
8体のエージェントが同時並行で動く「チーム」
発見されたツールキットは160MBのアーカイブ、1,395ファイルで構成されており、2つのオープンソースAIエージェントフレームワーク（元記事では固有名が記載されているとされる）を核に構築されていたとされる。どちらも自由にダウンロード可能で、AIモデルが実際のタスクを自律的に実行できるよう設計されている。
このツールは単一のスクリプトではなく、最大8体のエージェントを同時に展開し、それぞれが異なる角度から攻撃を担当する。マルウェアというよりも、協調して動くハッキングチームに近い構成だ。
作戦が発見された時点で、すでに以下の被害が記録されていた：
- 政府アカウント 85件以上の侵害
- 人事記録 2,500件以上の窃取
- 核安全機関およびエネルギー企業7社以上への攻撃拡大
「すべての政府は侵害されていることを前提とすべき」
DreamのチーフストラテジーオフィサーであるAmir Beckerは、イスラエル軍のサイバー諜報部隊「Unit 8200（ユニット8200）」で長年サイバー作戦を指揮してきたベテランだ。彼でも「これほどの自律性が政府を標的に向けられたケースは見たことがない」と断言した。
「これは世界中のすべての政府が持つべき基本的な前提でなければならない」― Amir Becker（Dream CSO）
Beckerは「常時・侵害前提（permanent, assumed compromise）」こそが現実的な出発点だと主張する。侵入されていないことを前提にした防御設計は、もはや通用しないという立場だ。
台湾という文脈
Dreamは社内ポリシーを理由に標的政府名を公式には明かしていないが、Financial Timesの報道では台湾であることが示されている。状況証拠も同方向を向いている。ツール内の内部通信は簡体字中国語で書かれており、標的から実際に盗まれたデータは繁体字中国語で記述されていた。繁体字は台湾・香港・マカオの政府システムでほぼ独占的に使用される文字体系だ。台湾のデジタル部（Ministry of Digital Affairs）は具体的な確認を避け、「政府機関が関与する事案は確立された対応手順に従う」とだけ述べた。
台湾の国家安全局は2025年に入り、中国からのサイバー攻撃を1日平均260万件記録しており、前年比6%増の水準にある。この攻撃量の一定割合が今回のような自律型ツールで実行されるようになれば、防御側の負担は急速に悪化する。
今回の事案が特に重要なのは、これがサンドボックス内の誤作動ではなく、実際の政府インフラへの意図的な兵器化だという点だ。
詳細はChina-Linked Hackers Use AI Agents in Autonomous Attack on Taiwanを参照していただきたい。
