9月7日、pbxscienceが「AI Agents Breached an Enterprise Network in Under 10 Hours, Researchers Say」と題した記事を公開した。AIエージェントが人間の攻撃者の指揮のもと企業ネットワークを10時間以内に侵害し、攻撃完了後には悪用した脆弱性をまとめた約80ページの技術レポートを自動生成した——この実際のランサムウェア攻撃事例を、Palo Alto NetworksのUnit 42が詳細に分析している。

「攻撃者からの自動セキュリティ監査レポート」という異様な締めくくり

この事案で特に目を引くのが、攻撃の終盤に起きた出来事だ。攻撃者はAIの「ドキュメント作成エージェント」に命令を下し、被害組織のシステム全体で悪用した脆弱性を詳細にまとめた約80ページの技術レポートを自動生成させた。

攻撃者が侵害した企業に対して、自動生成されたセキュリティ監査レポートを「贈った」形になる。心理的揺さぶりなのか、あるいは証拠として活用する意図なのか——その目的は明らかにされていないが、AIが攻撃の「事後処理」まで担えることを示した事例として記録されている。

人間なら2週間かかる侵害を、AIは10時間以内に完遂した

9月2日、Palo Alto NetworksのUnit 42（脅威インテリジェンスチーム）が、AIエージェントを使った企業ネットワーク侵害の詳細な分析レポートを公開した。

この事案では、人間の攻撃者がAIエージェントを指揮し、標的企業の内部ネットワークへの初期侵入から最終的なインパクト（データ窃取・インフラ奪取）まで、ほぼ全フェーズを自律的に実行させた。通常、熟練したペネトレーションテストチームが協調して動いても約2週間かかる一連の作業を、10時間以内に完了している。

Unit 42はこれを、「フロンティアAIモデルとエージェント型フレームワーク（agentic framework：AIが自律的に計画・実行・再評価を繰り返す動作様式）を使って侵入のほぼ全段階を実行した、最初期の記録された事例の一つ」と位置付けている。

攻撃のフロー：役割分担した複数のAIエージェントが連鎖

攻撃は以下のフェーズで構成されており、各フェーズに異なるAIエージェントが割り当てられていた。

• 初期侵入： 公開されているAPIエンドポイントに侵入し、偵察エージェントが内部ネットワークとマイクロサービスの構成をマッピング。
• 認証情報の窃取： ソースコードリポジトリを探索するサブエージェントが、コードにハードコードされた認証トークンとサービスパスワードを抽出。
• 権限昇格： 盗んだトークンを使い、別のエージェントが組織のシークレット管理システム（Vault等：APIキーやパスワードなど機密情報を一元管理する基盤）に侵入し、管理者の最上位クレデンシャルを取得。実質的にルート相当の制御権を獲得した。
• CI/CDパイプラインへの攻撃： ビルドパイプラインへのバックドア埋め込みを試みた。クラウドアクセスキーの外部流出には成功している。
• AIインフラの乗っ取り： 盗んだ認証情報を使い、被害組織自身のAIインフラを掌握。企業のコンピューティングリソースを攻撃基盤として再利用した。

Unit 42の分析によると、AIエージェントは**MITRE ATT&CKフレームワーク（既知の敵対者戦術カタログ）に登録された手法を50種類以上実行した。使われた手法自体に目新しさはなく、既知のものばかりだ。際立っていたのは、それらが高速かつ高度に連携して組み合わされた点**である。

本質的な脅威は「速さ」ではなく「適応力」

Unit 42の研究者が強調するのは、攻撃の速さよりもAIエージェントがリアルタイムで状況に適応できる点だ。固定スクリプトに従うのではなく、各アクションの結果を評価し、うまくいかなかった手法を切り替えながら目標に向かい続ける。従来この柔軟性は熟練した人間のオペレーターにしか発揮できなかった。

Unit 42でVP of Threat Intelligenceを務めるSherrod DeGrippoは、AIを「双方向の力乗数」と表現している。防御側も強化されるが、悪用された場合、これまで国家支援グループ級のリソースが必要だった攻撃能力を、比較的技術水準の低い攻撃者でも行使できるようになる、という見方だ。

一方で、一部の外部研究者は過大評価を戒めている。今回の事案は人間が指揮し、AIが戦術的な作業を代行したものであり、完全に自律的な攻撃ではないという点は留意が必要だ。

Unit 42が組織に求める対策

Unit 42は今回の事案を踏まえ、以下の防衛策を推奨している。

• AIエージェントの痕跡を監視する： 侵害されたシステムに残るMarkdownファイル、Pythonキャッシュファイル、ペアのアセットフォルダはAI駆動の活動を示す可能性がある。ただし検出可能な時間的余裕は短い。
• 封じ込めを自動化する： 手動のインシデントレスポンスは機械速度の攻撃に追いつかない。クレデンシャルの即時失効、開発パイプラインの停止、クラウドサービスの隔離を自動化したプレイブックの整備が求められる。
• AIシステムを重要インフラと同等に扱う： 攻撃者は侵害後に組織自身のAIモデルやコンピューティングリソースを乗っ取れる。最小権限アクセス、診断ログ、厳格なアクセス制御、インベントリの最新維持が必要だ。
• 自動攻撃ループの行動パターンを検出する： APIリクエストの急激なバースト、認証レスポンスの異常パターン、並列ログイン試行、AIモデルの予期しない利用などを監視する。
• DevOpsパイプラインを保護する： ソフトウェア開発パイプラインの単一の弱点が、長期的なバックドア維持に利用されうる。

文脈：単発事例ではない

今年初めにも、セキュリティ企業Sysdigが、単一の脆弱なサーバーに対して完全自律型AIランサムウェアが実行された事例を報告している。今回のUnit 42の事案はそれとは異なり、クラウド・ID管理・DevOps・SaaSシステムを横断して複数のAIエージェントが並列稼働した点が特徴だ。AIを使った攻撃者が同時に狙える範囲が急速に広がっている実態を示している。

詳細はAI Agents Breached an Enterprise Network in Under 10 Hours, Researchers Sayを参照していただきたい。