9月17日、Runtime Wireが「Palo Alto says AI agents breached a software company in under 10 hours」と題した記事を公開した。攻撃者がAIエージェントを使い、ヨーロッパのソフトウェア企業を10時間以内に侵害した実際のインシデントの記録だ。攻撃手口は既存の技術の組み合わせに過ぎないが、AIによって各ステップの間隔が圧縮されたことで、防御側が「侵入に気づいて封じ込める」ために使える時間が根本的に変わりつつある——そのことを、具体的な攻撃経路とともに突きつける内容となっている。
AIエージェントが「2週間の仕事」を10時間に圧縮した
2026年夏、匿名のヨーロッパIT・ソフトウェア企業が攻撃を受けた。Palo Alto Networksのインシデント対応チームであるUnit 42が調査した結果、攻撃者はAIエージェントを使い、侵害を10時間以内に完遂していたことが判明した。Unit 42の見積もりでは、同じ手順を人間のハッカーが手作業で実行した場合、約2週間かかるとされる。ただし、この「2週間」という数字はPalo Alto自身の算出であり、算出方法や比較条件は公表されていない点には留意が必要だ。
攻撃者はソフトウェアのデリバリーシステムへの到達、クラウド認証情報の奪取、そして被害組織のAIインフラを攻撃基盤として転用することに成功した。Unit 42は身代金要求が完全に実行される前に侵入者を排除したが、そこに至るまでの攻撃経路は詳細にわたって記録されている。
攻撃の全経路：公開APIから CI/CDパイプラインへ
攻撃は公開インターネット上の自動偵察から始まった。一連の流れは以下のとおりだ。
- 公開APIエンドポイントの悪用でネットワークへの初期侵入口を確保
- 内部サービスをマッピングし、コードリポジトリとデプロイメントパイプラインを特定
- リポジトリ内のソースコードに開発者が埋め込んだままにしていたパスワードやアクセストークンを収集
- シークレット管理システムへ侵入し、管理者権限の認証情報を取得
- CI/CDビルド環境へ侵入し、クラウドアクセスキーを抽出
Unit 42の技術レポートによれば、この攻撃ではMITRE ATT&CKフレームワークにマッピングされた50以上の技術が使われた。
攻撃者はその後、不正なCI/CDビルドを実行し、Terraform構成へのバックドア挿入を試みた。ブランチ保護ルールがこれを阻止したことが、「既存のセキュリティ慣行がエージェントの動作を制約できる」ことを示す最も明確な証拠となった。
さらに、盗んだクラウドキーで被害組織のAIエンドポイントにもアクセスし、被害組織自身のモデルと計算リソースを攻撃に流用した。セキュリティ界隈で「Living off the Land（環境寄生）」と呼ばれる手法で、攻撃者が独自のツールキットを持ち込まず、正規システムを使うことで検知を困難にする。
攻撃終了後、エージェントは被害組織の脆弱性を記録した80ページの技術評価文書を残していった。Unit 42は、エージェント間で情報をやり取りする構造化Markdownファイル、複数のフロンティアモデルへの並列呼び出し、AIが生成したとみられるカスタムスクリプトを確認している。
「空は落ちてこない」——ただし防御の猶予時間は消えつつある
Unit 42のシニアディレクター（脅威インテリジェンス担当）であるAndy Piazzaは、この攻撃を「人間が主導するエージェントの連鎖」と表現した。攻撃者はタスクを割り当て、結果をレビューし、次にエージェントが何をすべきかを判断していた。自律型の完全自動攻撃ではなく、人間のオペレーターが司令塔として機能していた構図だ。
Piazzaはメディアに対し「空は落ちてこない」と述べる一方で、「遅い調査に頼る防御側は、かつて侵入者を封じ込めるために持っていた時間的余裕を失いつつある」と警告した。
攻撃技術自体は既知のものばかりだ。公開サービスの悪用、露出した認証情報の収集、正規アカウントの悪用、クラウドインフラへの横展開。AIが変えたのは手口ではなく、各ステップの間隔だ。偵察、認証情報の探索、複数システムへの繰り返しアクセスが並列実行され、待機時間がほぼゼロになった。
防御の教訓と、Palo Altoの商業的文脈
Unit 42のレポートが示す防御の教訓はシンプルだ。
- コードリポジトリに認証情報を埋め込まない（リポジトリスキャンの導入）
- アクセストークンが上位システムへの経路にならないよう最小権限の徹底
- クラウドAIエンドポイントへの過剰な権限付与を見直す
- ブランチ保護とデプロイメントパイプラインの防護を機能させる
- 侵害を検知した際の迅速な認証情報の失効・封じ込め体制の整備
一方で、Palo Altoにはこの事例を声高に語る商業的動機がある点も無視できない。同社は2026年4月17日にUnit 42 Frontier AI Defenseというコンサルティング・セキュリティパッケージを発表しており、まさにこのような攻撃経路の特定と防御を売り物にしている。今回のレポートはそのサービス発表から約5ヶ月後のタイミングで公開されており、インシデント事例の公開がサービスの認知拡大に寄与する構図は意識しておきたい。「10時間 vs 2週間」という比較もPalo Alto自身の推計であり、第三者による検証は行われていない。
とはいえ、攻撃経路の技術的詳細は具体的だ。「どのような制御が機能し、何が機能しなかったか」を示す記録として、セキュリティエンジニアにとって参照価値がある。
詳細はPalo Alto says AI agents breached a software company in under 10 hoursを参照していただきたい。
