9月8日、The Hacker Newsが「Autonomous AI Agents Compromise Thousands of Credentials in Under Six Hours」と題した記事を公開した。この記事では、自律型マルチエージェントのAI攻撃フレームワークを用いた大規模な認証情報窃取キャンペーンがわずか6時間以内に実行された実態を報告している。金銭目的の攻撃者グループがクラウドインフラを足がかりにAIエージェントを展開し、人間が対応できる速度を超えた攻撃を完遂したという事実は、セキュリティ担当者にとって看過できない転換点を示している。

6時間で数千件の認証情報を侵害——AIエージェントによる自動攻撃の現実

ある金銭目的の攻撃者グループが、標的組織のクラウドインフラを侵害した上で、自律型マルチエージェントの攻撃フレームワークを展開。AIコーディングチャットボット、プロンプト、エージェント指示書を組み合わせ、大規模な認証情報収集キャンペーンを6時間以内に計画・構築・実行した。被害を受けた組織はクラウドネイティブな開発環境を持つ企業が中心とみられ、CI/CDパイプラインや開発者向けの認証情報が主な標的となった。

攻撃の核心は、Markdownで記述された「オペレーショナルプレイブック（作戦手順書）」だ。これは攻撃者があらかじめ用意した手順書であり、AIエージェントが取るべき行動・判断基準・エラー対処をすべて記述したものとして機能する。いわば「AIへの業務指示マニュアル」であり、これを読み込んだエージェントが脆弱性スキャンと認証情報収集を完全自動で実施した。人間の介入なしに、脆弱性スキャンパイプラインの管理、リアルタイムのトラブルシューティング、IPローテーション（検知回避のためにIPアドレスを次々と切り替える手法）まで自律的にこなしたという。

Google Threat Intelligence Group（GTIG）のチーフアナリスト、John Hultquist氏はこう述べている。

「今や、すべての脅威アクターが何らかの形でAIを活用していると考えてよい。特にエージェント的に適用されると問題が深刻化する——スケールアップし、より速い敵を生み出すからだ。6時間で大規模な悪用キャンペーンを実行した犯罪者のように、攻撃者は私たちが対応できる速度を超えた攻撃に引き寄せられていく。」

TeamPCP（Altered Spider）：サプライチェーン経由でAI開発ツールを狙う

この事件の背景にある主要な脅威アクターが、TeamPCP（別名：Altered Spider、UNC6780）だ。PyPI、npm、Docker Hubを標的にした一連のソフトウェアサプライチェーン攻撃を仕掛けており、侵害後に認証情報窃取ツールを展開するという手口が確認されている。標的はクラウドサービス事業者やSaaS企業、開発者向けツールベンダーなど、大量の開発者認証情報を保有する組織に集中しており、窃取した情報の転売市場における価値の高さがうかがえる。

使用されるマルウェアは2世代ある：

• SANDCLOCK（2026年3〜4月使用）：Pythonで書かれたLinux向けの認証情報窃取ツール。コンテナエスケープ機能を持ち、Kubernetesにも対応。暗号資産ウォレットやクラウド・開発者向け認証情報を狙う。なお、元記事ではCanisterWormとして公開報告されているものとの関連が示唆されているが、両者の対応関係については元記事の記述を直接確認されたい。
• DUSTMAKER（2026年4月以降）：JavaScript製のクロスプラットフォームペイロードで、CI/CDパイプラインに最適化。コンテナエスケープ機能はないが、AIアシスタントのワークスペースへのポイズニング（汚染）やプロンプトインジェクション（AIへの不正指示埋め込み）による防御回避といったAI固有の攻撃技術を搭載している点が特徴的だ。

窃取した認証情報は、直接販売またはランサムウェア・データ恐喝グループとの提携を通じて換金される。

国家系・犯罪グループによるAI活用の全体像

GTIGが観測した脅威アクターによるAI悪用は、認証情報窃取にとどまらない。

中国系グループでは、UNC6508がクラウド環境を侵害してローカルLLMインフラを構築。商用モデルではなくオープンウェイトモデル（重みが公開されている大規模言語モデル）をローカルで動かすことで、AIモデルプロバイダーの監視を回避している。また、Basin Castle（別名Mustang Panda）やRavine Castle（別名APT24）がGeminiやClaude、Codexを使ったカスタムエクスプロイトスクリプトの作成、スピアフィッシングの文面生成、侵入中のエラーデバッグに活用していることも確認された。

ロシア系グループでは、SandwormがGeminiをウクライナ攻撃の情報収集・ソーシャルエンジニアリングに利用。UNC5792はTelegramチャンネルから特定情報を自動抽出するためにAIを活用している。

北朝鮮系グループでは、Midnight Neptune（UNC1069）が商用LLMとオープンウェイトモデルを使ったバックドア自動開発を実施。ShinyHunters（UNC6240）はClaude CodeでCloudflareのセキュリティ制限を回避したことも報告されている。

オープンウェイトモデルという「監視の抜け穴」

GTIGが特に警鐘を鳴らしているのが、オープンウェイトモデルの悪用だ。

「オープンウェイトモデルは、ローカルで監視なしに展開できるため、安全ガードレールが存在しない。特に『abliterated（検閲除去済み）』バリアントの台頭は深刻だ。APIを介した商用モデルはプロバイダーが悪用を監視できるが、オープンモデルには集中的な防御側の可視性がない」（GTIG）

「abliterated」モデルとは、商用LLMが備える有害コンテンツのフィルタリング機能を意図的に除去・無効化したモデルバリアントを指す。Hugging Face等のプラットフォームで流通しており、悪意ある利用者がマルウェア生成やフィッシング文面作成にそのまま活用できる状態で入手可能なものも存在する。

GTIGはこれへの対策として、オープンソースAI向けの業界横断的な安全基準の策定と、検閲除去済みモデルを制限するプラットフォームポリシーの整備を求めている。Googleは自社でFrontier Safety Framework（フロンティア安全フレームワーク）とCritical Capability Levels（CCL）を策定し、オープン公開が許容できないセキュリティリスクをもたらすか評価する体制を設けている。

詳細はAutonomous AI Agents Compromise Thousands of Credentials in Under Six Hoursを参照していただきたい。