9月5日、GBHackersが「Hackers Use Frontier AI Agents to Breach Enterprise Network in Under 10 Hours」と題した記事を公開した。この記事では、フロンティアAIモデルとエージェント型フレームワークを組み合わせた攻撃者が、エンタープライズネットワークへの侵入からルート権限の奪取まで10時間以内に完遂した実際の攻撃事例について詳しく紹介されている。ゼロデイも新型マルウェアも不要——既知の手法を"機械速度"で組み合わせるだけで、人間のレッドチームが2週間かけて行う侵入を10時間に圧縮できることをこの事例は示している。
2週間かかる攻撃を10時間に圧縮
この攻撃はPalo Alto NetworksのUnit 42が調査・記録したものだ。GBHackersが参照するUnit 42の一次レポート「AI-Assisted Cyber Attack: Inside a Unit 42 Investigation」によれば、複数の人間のレッドチームオペレーターが約2週間かけて行うような侵入オペレーションを、AIエージェントによる自動化が機械速度で実行した。
重要なのは、ゼロデイ脆弱性も高度な新型マルウェアも使われていないという点だ。攻撃者は既知の侵入手法を、構造化されたエージェント型ワークフローを通じて「例外的な速度とスケール」で適用した。
AIエージェントの役割分担：偵察・権限昇格・横移動を並列実行
AIエージェントは戦略的な意思決定を独自に行ったわけではない。攻撃者が目標選定・方針決定・高影響アクションの判断を掌握しつつ、個々のエージェントが専門的なタスクを分担した。
具体的な役割分担は以下のとおりだ：
- 偵察エージェント：内部マイクロサービスをマッピングし、アクセス可能なサービスを特定して他のエージェントに引き渡す
- クレデンシャル探索エージェント：社内ソースコードリポジトリからハードコードされたパスワード、APIトークン、クラウドアクセスキーを収集
- 権限昇格・横移動エージェント：取得した秘密情報を使いシークレット管理プラットフォームにアクセス、マスター管理者クレデンシャルとルートアクセスを奪取
- 永続化・データ収集エージェント：DevOps環境を標的にTerraform設定へのバックドア埋め込みを試みる
Unit 42は、複数の大規模言語モデルへの並列クエリ、エージェント間でコンテキストを保持するための構造化Markdownファイル、AIで生成または改良されたと見られるカスタム自動化スクリプトの存在を確認している。実行された手法はMITRE ATT&CKフレームワークにマッピングされるもので、50以上のテクニックに及んだ。
防御側が止めた唯一のポイント：ブランチ保護
Terraform設定へのバックドア埋め込みの試みは、強固なブランチ保護コントロールによって阻止された。必須レビュー、保護ブランチ、変更不可能なデプロイコントロールが機能した形だ。
一方で攻撃者は窃取したクラウドクレデンシャルを使い、被害組織のAIエンドポイントを呼び出してコンピューティングリソースを乗っ取った。正規のAIサービストラフィックの中に攻撃のオーケストレーションを隠蔽しながら、コンピューティングコストを被害組織に転嫁できる手口だ。
さらに攻撃者は、被害組織のセキュリティ態勢と発見した数十の弱点を詳述した80ページの技術評価レポートを残していった。攻撃後の包括的分析まで自動化できることを示している。
防御側が今すぐ取るべき対策
Unit 42はAI環境を「孤立した実験システム」ではなくコアのエンタープライズインフラとして扱うよう勧告している。具体的な推奨事項は次のとおりだ：
- モデルエンドポイント、APIキー、MCP（Model Context Protocol）ゲートウェイ、AIエージェント、接続クラウドサービスの棚卸し
- AI・ID・クラウド・DevOps環境全体に最小権限、レート制限、シークレットスキャン、詳細ログを適用
- バースト状のAPIトラフィック、認証状態の急激な変化、並列ログイン試行、異常なモデル使用、予期しないIDからのアクセスを調査対象として設定
- インシデント対応計画にIDプロバイダー・クラウドアカウント・CI/CDプラットフォーム・コードリポジトリにまたがる横断的な封じ込め手順を組み込む
クレデンシャルの即時失効、OAuthセッションの終了、パイプラインの凍結、影響を受けたクラウドリソースの隔離が、AI主導の侵入が拡大する前に止める鍵になる。
詳細はHackers Use Frontier AI Agents to Breach Enterprise Network in Under 10 Hoursを参照していただきたい。
