10月22日、Cybersecurity Diveが「Agentic AI helps hackers level up, even without detailed instructions」と題した記事を公開した。CrowdStrikeの最新レポートによれば、2026年後半のエージェント型AI侵入件数は前半比で3倍に急増しており、AIエージェントを活用したサイバー攻撃はすでに政府機関・医療機関・SaaS企業など幅広い組織への侵入を実現している。高度なエンジニアリングスキルがなくとも攻撃が成立しうる実態が、複数の脅威アクターの事例から浮かび上がってきた。

CrowdStrikeが2026年に公開したレポートは、セキュリティ業界が長年懸念してきたシナリオが現実になったことを示している。AIエージェントは今や、フィッシングメールの改善といった補助的な使われ方を超え、ハッキングキャンペーン全体を自律的に操作するツールへと進化した。

AIエージェントが"自律的に"ハッキングを遂行する

CrowdStrikeのレポートは、4つの脅威アクターのケースを詳述している。そのうち2つは「AIハーネス」（大規模言語モデルを外部リソースと接続し、エージェント的な能力を与えるソフトウェア基盤）を高度に構成したグループで、残り2つはより単純なハーネスを使用していた。

最も精巧だったのは、スペイン語・英語を話す脅威アクターによるアルゼンチンの医療機関への攻撃だ。このグループはAnthropicの**Claude Code**（コード生成・実行を主目的としたコーディングエージェント）を2つのエージェントとして動作させた。一方のエージェントがスーパーバイザーとして機能し、もう一方に攻撃タスクを割り振る構成である。Claude Codeは本来開発者向けのコーディング支援ツールだが、ファイル操作・コマンド実行・外部API呼び出しといった汎用的なエージェント機能を持つため、こうした攻撃用途への転用が可能になっている。

このグループはさらに、オープンソースのペネトレーションテストフレームワーク「**PentestGPT」を独自スクリプトで拡張し、少なくとも15の組織への侵入に成功**。パスワードや医療記録などの機密データを窃取した（活動期間は2026年5月中旬〜8月中旬）。

このキャンペーンでとくに注目すべきは、AIエージェントが自律的に攻撃手法を切り替えた点だ。盗んだハッシュ化パスワードの再利用が失敗すると、今度はWindowsの機能を悪用して被害者のドメインコントローラーからハッカーのインフラへ接続を確立し、5つのパスワードを追加窃取した。エージェントが独自に判断して代替手法を選択しており、人間のオペレーターが逐一指示を出す必要がなかった点が従来の攻撃ツールとの大きな違いだ。

中国語話者とみられる別のグループはさらに広範囲を標的にした。ブラジル・コロンビアの政府機関、および複数の民間企業（テクノロジー、バイオテク、小売など）を攻撃。Claude Codeを主軸にしつつ、OpenAIのChatGPTなど複数のLLMを組み合わせたインフラを構築していた。

「自分で突破口を見つけろ、俺には頼るな」

シンプルなハーネスだけでも攻撃は成立する——これが今回のレポートの最も重要な示唆かもしれない。

インドネシア語を話すあるアクターは、GitHubの公開リポジトリから集めた800以上のAIスキルをClaude Codeに与え、カスタムのオーケストレーション（処理の調整・制御）は一切施さなかった。エージェントへの指示は「自分で突破口を見つけろ、俺には頼るな（"You find the bypass yourself, don't rely on my help"）」というものだった。

完全に放任したため、安全ガードレールに引っかかる場面では人間が介入する必要があった。それでも、インドネシアとバングラデシュの政府機関および民間企業への侵入に成功している。

ロシア語話者のアクターは7項目のToDoリストをエージェントに渡し、その後の手法選択はほぼエージェントに一任した。このケースは「最小限の指示で攻撃が完遂しうる」という文脈でしばしば引用されるが、実態としてはClaude Codeと複数LLMを組み合わせたインフラが前提となっており、エージェントの自律性があってはじめて成立する攻撃である点は押さえておく必要がある。結果として、米国のヘルプデスクプラットフォームから企業クライアントデータを窃取し、ウクライナの政府機関やSaaS企業など複数の組織を侵害した。CrowdStrikeはこのアクターがサイバー犯罪エコシステムと関連していると見ており、エージェントの活動通知の送信先だった3人がいずれもサイバー犯罪活動と結びついていた。

攻撃スケールを制約するのは「スキル」ではなく「トークン予算」

CrowdStrikeが指摘するのは、「攻撃をスケールさせる主な障壁は、エンジニアリングの複雑さではなくトークン予算だ」という点だ。LLM APIの利用コスト——すなわちどれだけ多くの推論処理を実行できるか——が、現時点での攻撃規模の実質的な上限になっている。

この指摘が意味することは大きい。これまでサイバー攻撃の規模を制限してきた要因は、脆弱性の知識や攻撃コードの開発能力といった「技術スキル」だった。しかし今後は、LLMの推論コストが下がり、コンテキストウィンドウが拡大するにつれ、この経済的な制約も薄れていく。つまり攻撃者に求められるのは高度な専門知識ではなく、APIの利用料を払える資金力と、エージェントへの適切な指示だけになりつつある。

攻撃件数は2026年後半に3倍増

CrowdStrikeのデータによれば、2026年後半のエージェント型侵入件数は前半比で3倍に増加した。2026年8月はその前月比で2倍、9月は8月比でさらに2倍という急増ペースだ。

今後12ヶ月でエージェント型AIは、スキルの低いハッカーが高度なサイバー犯罪グループや国家支援チームと同等の能力を持てるようにするだろう、とCrowdStrikeは警告する。アマチュアならではのミス——不用意なログの残し方や手法の選択ミスなど——は依然として残るものの、「その攻撃量の規模の大きさ」だけで脅威環境を一段と危険にするという。一定の錬度を持つアクターにとっては、エージェントが攻撃の試行回数を桁違いに増やす手段となる点が、防御側にとって最も深刻な課題となっている。

詳細はAgentic AI helps hackers level up, even without detailed instructionsを参照していただきたい。