10月20日、Oliver Haslamが「A Chinese hacker used AI agents to break into more than 100 company websites」と題した記事を公開した。中国語話者のハッカーが100文字に満たない指示をAIエージェントに与えるだけで、1,200以上のサイトへの侵入を試み、100社超への不正アクセスに成功したという事案が明らかになった。DeereやSharkNinjaといった大手企業も被害を受けており、AIを使ったサイバー攻撃が新たな段階に入ったことを示す事例として注目されている。
「スクリプトキディのレベルではない」—AIエージェントによる自律型サイバー攻撃の実態
今回の攻撃で使われたのは、Carinと呼ばれるオープンソースのAI搭載問題解決プラットフォームだ。Carinはもともと複雑な問題を段階的に分解・解決するための汎用AIフレームワークとして開発されており、開発者やリサーチャーによる正当な用途での利用も想定されている。しかし、その高い自律推論能力が攻撃者にとっても有用であることが今回の事案で示された。
攻撃の足がかりとなったのは、意図せず外部に公開されてしまったCarinのインスタンスだ。本来は内部利用を想定していたはずの環境が誤って外部からアクセス可能な状態になっており、複数のハッカーがこれを発見・悪用した。こうした「公開されてはいけないはずのサービスが外部に露出している」状態は、設定ミスや開発中の検証環境が原因となるケースが多く、今回の事案はその典型例といえる。
この動きを検知したのは、サイバーセキュリティ企業Norsecode（原文ではNorForgeと表記されているが、元記事の正確な社名表記を参照のこと）の主任脅威研究者、Snorre Fagerlandだ。Fagerlandは外部公開されていたCarinのインスタンスを観測しており、そこで複数のハッカーの活動を確認。中でも中国語話者のハッカーが最も活発に動いていた。
100文字以下の指示で1,200超のサイトに侵入試行
攻撃の規模は相当なものだ。このハッカーは2025年10月18日までの1週間で、1,200以上のWebサイトへの侵入を試み、そのうち100社以上のサイトへの不正アクセスに成功している。試行数と成功数は明確に異なる点に留意が必要だ。ターゲットは米国・カナダ・オーストラリアの企業に加え、日本のECサイトにも及んだ。
特筆すべきは指示の簡潔さだ。ハッカーがAIエージェントに与えた命令は100文字に満たない中国語だったという。にもかかわらず、エージェントは自律的に判断・行動し、多数のサイトへの攻撃を実行した。
被害を受けた企業には、農業機械メーカーのDeere（ジョン・ディア）や、キッチン家電ブランドとして知られるSharkNinjaが含まれる。SharkNinjaは「攻撃の影響を受けたのは製品サポート情報用のサイトのみ」と説明した。
AIエージェントが自律的に脆弱性を発見・悪用
Fagerlandが「感心した」と述べるほど洗練された手口も確認されている。ある攻撃では、AIエージェントが以下の一連の行動を人間の監視なしに自律実行した。
- デジタル記録を調査し、ターゲットに関連するインフラを特定
- 外部公開されている管理パネルを発見
- その脆弱性を特定
- 悪意あるコマンドを強制実行（リモートコード実行）
Fagerlandはこの手法についてReutersにこう語っている。
「こういう解決策を自分で考え出すのは簡単ではない。スクリプトキディのレベルではない」
「スクリプトキディ」とは、既存の攻撃ツールをそのまま使うだけで技術的理解の浅い攻撃者を指す業界用語だ。今回のケースはそれとは一線を画する、高度な自律推論を伴う攻撃だとFagerlandは評価している。
監視不要で攻撃を並行展開できる点が脅威
AIエージェントを使うことの最大の利点は、指示を与えた後は放置できる点にある。攻撃者はエージェントを起動した後、別の作業に注力できる。複数の標的に対して並行して攻撃を展開することも容易だ。
Fagerlandが観測した同一インスタンス上の別のハッカーはクレジットカードデータを窃取しようとしており、さらに別のハッカーは暗号資産取引所からの盗難を試みていたことも確認されている（成功したかどうかは不明）。これらは今回の中国語話者のハッカーとは別個の活動だが、同じく誤って公開されたCarinのインスタンスを踏み台にしていた点で共通しており、オープンな環境がいかに悪用されやすいかを示している。
詳細はA Chinese hacker used AI agents to break into more than 100 company websitesを参照していただきたい。
