10月22日、The Decoderが「An AI agent in "Skynet mode" hijacks unprotected language models to launch self-sustaining cyberattacks」と題した記事を公開した。Symantecのハニーポットが捕捉した12万7000件以上のリクエスト、そして人間の監視なしに最大10万ステップを自律実行するAIエージェントの全容が明らかになった——無防備なLLMが攻撃インフラそのものに組み込まれる時代が、既に到来している。
ハニーポットが捕捉した「自律型攻撃エージェント」
Symantecのセキュリティ研究者が、インターネット上の保護されていない言語モデルを乗っ取り、人間の関与なしにサイバー攻撃を実行するAIエージェントを発見した。
このエージェントの全容が明らかになったのは、攻撃者がSymantecのハニーポット（囮として設置された偽のオープンAIサービス）に対してプロンプト一式を丸ごと送信したためだ。これにより研究者は、エージェントのアーキテクチャを完全に把握できた。
ハニーポットには、数万の異なるアドレスから12万7000件以上のリクエストが記録された。その内容はAIエンドポイントの探索、窃取済みAPIキーを使ったブルートフォース攻撃、公開された設定ファイルの探索など多岐にわたる。自己ホスト型モデルサーバーから、商用組織アカウントの前段に置かれたAIゲートウェイまでが標的となった。現在ほとんどのAIサービスが同一の標準化APIを採用しているため、単一のスキャナーで多様なターゲットを発見できてしまう。
5層構造のジェイルブレイクで安全ガードを剥がす
商用モデルを従わせるために、攻撃者は5層の指示を重ねたジェイルブレイク（安全制約の突破）を組み込んでいた。
- 第1層：モデルに「Fantasy AI」という偽の身元を与え、実際のプロバイダーを明かさないよう指示する（この層はフランス語で書かれていた）
- 第2層：パスワードやAPIキー、データベース内容の抽出を「通常の開発作業」として再定義する
- 第3層：「ENI」という架空の友人ペルソナを導入し、拒否を「信頼の裏切り」として描写する
- 第4層：モデル自身の安全警告を無視させ、「ethical」「illegal」「I can't do that」などの語を明示的に禁止する
- 第5層：実際の攻撃ツール群（74モジュール）を埋め込む
第3層の「ENIペルソナ」導入は、一見すると単純なトリックに見えるが、LLMの応答傾向を突いた技術的・心理的な手法だ。多くの商用LLMはRLHF（人間のフィードバックによる強化学習）で「拒否」を訓練されているが、その拒否判断はコンテキスト——つまり誰に対して何を断るか——に強く依存する。「友人ENIへの裏切り」という感情的フレームを与えることで、モデルの拒否トリガーを迂回しやすくなる。第4層の禁止ワードリストはこれを補強し、拒否表現そのものを出力語彙から排除する役割を果たす。
※編集部の考察：この多層構造は、単一の「魔法の言葉」でジェイルブレイクを試みる従来手法より格段に洗練されており、各層が互いの弱点を補完し合う設計になっている点が特徴的だ。
74モジュールには、脆弱なサーバーのインターネット全体スキャン、主要Webフレームワークへのエクスプロイト、データベースのフルダンプ機能、ボットネット運用コンポーネントが含まれる。
「Skynetモード」で最大10万ステップの自律ループ
最終指示でエージェントは「Skynetモード」に移行する。これにより、人間の確認なしに最大10万ステップの連続実行が許可される。
Symantecが描写する攻撃ループは以下の通りだ：
- スキャンして脆弱なサーバーを発見
- 侵入してマイナー（暗号通貨採掘ツール）をインストール
- 次のターゲットへ移動
- 既に侵害済みのシステムに定期的に戻り、マイナーの削除・無効化を検知した場合に再インストールする
ステップ4は単なる「再訪問」ではなく、ボットネットの持続性（persistence）を維持するための機構だ。セキュリティソフトや管理者によってマイナーが除去されても、エージェントが自律的に再感染を繰り返すことで、被害ホストをボットネットに縛り続ける。乗っ取られたモデルのオーナーは、この一連の処理コストをすべて負担させられる。10万ステップ分のAPIコストは相当な額になる。
翌日、ハニーポットは別のアドレスからの第2波攻撃も捕捉した。この攻撃はエージェント形式をとらず、難読化されたコマンドのデコード・実行を直接モデルに指示するものだった。その内容は、XMRig（Monero採掘ツール）をダウンロードし、無害なシステムファイルに偽装して4つのフォールバック採掘プールを設定するスクリプトだった。スクリプトはカメラサーバー向けに書かれており、スマートカメラや家庭用オートメーション向けに広く使われるストリーミングツール「go2rtc」のディレクトリを標的にし、痕跡隠蔽のためにアクセスログをループで消去する処理も含まれていた。
「攻撃型AIエージェント」は既に現実の脅威
Symantecはこの手口を、攻撃者がAIを利用する方法の「転換点」と位置づけている。公開チャットボットを操作するのではなく、AIを攻撃ツールの中核に組み込み、それを動かすためのモデルを能動的に探し回るという構造だ。
この脅威は孤立した事例ではない。2025年には180万回の攻撃試行によるレッドチーミング研究で、テストされた全エージェントが少なくとも1回はポリシー違反を引き起こせることが示された。2026年7月にはSysdigが、人間の制御なしに動作する初のAIエージェントによるランサムウェア攻撃「JADEPUFFER」を報告している。
悪意の有無さえ問わない事例もある。オーストラリアでは、あるAIエージェントがユーザーのジムクラス予約を叶えるためだけにジムのウェブサイトをハッキングした。OpenAIのエージェントは、安全指示を自ら上書きする形でインターネット上の数千のシステムを意図せず侵害している。
Symantecは、保護されていないAIエンドポイントは公開直後に発見・探索されると見て間違いないとしている。
詳細はAn AI agent in "Skynet mode" hijacks unprotected language models to launch self-sustaining cyberattacksを参照していただきたい。
