9月8日、Help Net Securityが「Threat actors are giving AI agents a bigger role in cyberattacks」と題した記事を公開した。この記事では、GoogleのThreat Intelligence Group（GTIG）が公開したQ3 2026 AI Threat Trackerをもとに、AIエージェントがサイバー攻撃の自動化において果たす役割が拡大している実態について詳しく紹介されている。

6時間で数千件の認証情報を奪取

最も具体的なインシデントとして紹介されているのが、2026年Q2にMandiantが調査した事例だ。財務目的とみられる脅威アクターが、ある組織のクラウドインフラを侵害し、自律型マルチエージェントフレームワーク（複数のAIエージェントが互いに役割を分担しながら、人間の逐次的な指示なしにタスクを完遂する仕組み）を展開した。

攻撃者はAIコーディングチャットボットにプロンプトとエージェント指示を与え、6時間以内に大規模なクレデンシャルハーベスティングキャンペーンを計画・構築・実行した。クレデンシャルハーベスティングとは、ログイン情報やAPIキーなどの認証情報を大量に収集・搾取する攻撃手法を指す。結果として数千件のサードパーティ認証情報が流出している。

GTIGの研究者によれば、エージェント指示によってAIは「脆弱性スキャンパイプラインの自律管理」「リアルタイムのトラブルシューティング」「IPローテーションロジックの実行」を、人間の介入なしに行ったという。攻撃トラフィックは被害組織のクラウドインフラを経由したため、正規のIPアドレスとして処理された点も見逃せない。

公開サーバーから発見された2万3,800件超のシークレット

GTIGはさらに、「Recon」と名付けられた自動偵察・クレデンシャル管理フレームワークをホストする野ざらしのC2（コマンド&コントロール）サーバーを特定した。C2サーバーとは、マルウェアや攻撃ツールに対して遠隔から命令を送り、活動を制御するための指令インフラのことを指す。

このサーバーにはAGENTS.md、KNOWLEDGE.md、agentic_vuln_research.mdといった設定・知識ファイルや、.openclaw/・memory/ディレクトリが露出していた。検出後まもなく、同ディレクトリはクラウドおよびAIサービス向けAPIキーを含む2万3,800件超のシークレットをリアルタイムで整理・検証・管理するダッシュボードへと変貌した。

GTIGはこの活動を「パッシブなエンドポイント型インフォスティーラーから、攻撃的なエージェント型ハーベスティングへの移行」と表現している。AIエージェントが脆弱性調査、サーバーサイドインフラのスキャン、標的型エクスプロイトの実行を自律的にこなす段階に入りつつある。

中国系スパイグループもフレームワーク構築を試みる

国家レベルの脅威アクターも動きを見せている。PRC（中国）関連のサイバースパイグループが、Geminiを用いて動的な自動ペネトレーションテストフレームワークの設計を試みた事例が確認されている。ポートスキャンやサービスパースなどの偵察機能を計画していたが、GTIGはフレームワーク構築の試みにとどまったと判断し、関連アセットを無効化した。

別の中国系グループは「CC Switch」というツールを使い、Claude・Gemini・Codexに対してカスタムエクスプロイトスクリプトの生成、スピアフィッシングルアーの作成、デバッグを依頼するパイプラインを構築した。CC SwitchはGTIGの報告書内で言及されているツールで、複数の商用AIモデルへのアクセスを切り替えながら攻撃工程を自動化する用途に使われたとされている。

Webアプリケーション診断ツールのBurp Suiteや、オープンソースのペネトレーションテストフレームワーク「Phalanx」も組み合わせて使用された。Phalanxは攻撃者コミュニティで共有されているカスタムフレームワークとみられ、偵察からエクスプロイトまでの一連の工程を統合管理する機能を持つと報告されている。ポストエクスプロイト段階ではC2・クレデンシャルハーベスティングのために「Shai-Hulud」が展開されたとされる。Shai-HuludもGTIGが同報告書内で命名・分類した攻撃ツールであり、エクスプロイト後の永続化と情報収集を担うコンポーネントとして位置付けられている。

「完全自律」にはまだ達していない

GTIGは現時点で「実環境において完全自律型のパイプラインを攻撃に使用している脅威アクターは確認されていない」と明言している。一方で、エージェント型AIの採用状況は「この方向への進化を示唆している」とも述べており、「技術的熟練度の段階的な成熟」が進んでいると評価している。

攻撃者たちは商用・オープンウェイトのAIモデルを活用し、公開された脆弱性情報やパッチ遅延を機能するn-dayエクスプロイトコードに転換し、制御された環境でペイロードを精錬しながら「多段階エクスプロイトチェーンの構築」へと進んでいると分析されている。

また、GTIGはAIサービスへのアクセスや計算リソースのコスト自体が「脅威アクターにとってAI活用の主要な障壁のひとつ」であるとも指摘しており、プレミアムモデルへのアクセス確保が新たな攻撃面になっているとしている。GTIGが今回の知見をまとめたQ3 2026 AI Threat Trackerは、Googleのセキュリティリサーチ部門を通じて公開されており、最新の脅威トレンドを継続的に追跡するレポートシリーズの一環である。

詳細はThreat actors are giving AI agents a bigger role in cyberattacksを参照していただきたい。