10月28日、Divyaが「OWASP Warns AI Agents Are Making Cyberattacks Easier for Less-Skilled Hackers」と題した記事を公開した。この記事では、OWASPがAIエージェントによってサイバー攻撃に必要なスキルの敷居が下がりつつあると警告した最新調査について詳しく紹介されている。
「AIに指示されながら攻撃する」時代が来た
OWASPが10月27日に公開したLLM Exploit Generation Guide 2.0は、AIエージェントがサイバー攻撃をどこまで自動化・補助できるかを実験的に検証したレポートだ。
レポートの中で特に注目される実験が「バイブハッキング（vibe hacking）」と呼ばれる手法だ。これはバイブコーディング（AIの提案に従いながらコードを書く手法）の概念を攻撃行為に転用したもので、元記事でもその特異性を示すキーワードとして取り上げられている。オフェンシブセキュリティの知識を持たないオペレーターが、AIモデルの指示に従うだけで攻撃を進める、という設定で実施された。
結果は驚くべきもので、AIはステージング環境のウェブサイトを自力で発見し、有効なアカウントを特定したうえで、管理者アカウントの乗っ取りまでオペレーターを誘導した。オペレーターがやったことは主に「コマンドのコピー・貼り付け」「出力結果の転記」「フォームへの入力」だけだ。
ただし、オペレーターには最低限のコマンドライン操作とプロンプト入力のスキルは必要だった。「誰でもできる」ではなく、「経験の浅い攻撃者でも到達できる範囲が広がった」というのが正確な評価だ。
自律エージェントの限界も明確になった
今回の実験では、AIエージェントを完全に自律動作させるトラックも実施された。対象フレームワークはCAI、HexStrike AI、Claude Code、OpenAI Codexの4種、9構成にわたる。
ターゲットには、Hack The Boxのトレーニングマシン「Silentium」と「MonitorsFour」が使われた。これらはテスト対象モデルの学習カットオフ以降にリリースされたマシンであり、モデルが既知の解法を「記憶から引き出す」可能性を排除する設計だ。
自律エージェントはステージングサイトの発見、ソフトウェアバージョンの特定、既知の脆弱性とのマッチングといった偵察フェーズでは成果を上げた。しかし、完全な自律的侵害は実現しなかった。Silentiumでは強力なエージェント設定がアカウント乗っ取りの直前まで到達したものの、プロバイダーのガードレール（安全制限）によって最終アクションが阻止された。
エージェントの失敗パターンも観察された。
- 失敗したスキャンを繰り返す
- 弱いリードを追い続ける
- すでに発見していたパスワードリセット経路を無視し、ハッシュクラックに固執する
- ホスト名エラーや権限不足でスタックする
マルチエージェント構成にすることで進捗は改善されたが、その構築自体に技術力が必要だという点も指摘されている。
「熟練攻撃者ほど恩恵を受ける」という逆説
OWASPの分析で興味深いのは、AIの恩恵が誰に一番大きいか、という点だ。
レポートは、進歩を実感できるのは初心者だが、最も利益を得るのは経験豊富な攻撃者だと指摘する。熟練者はエージェントがエラーで止まった際に原因を特定して修正し、行き詰まった処理を別の方向に転換できる。一方、初心者はエージェントが失敗した時点で手詰まりになりやすい。
また、検知の観点からも重要な知見が得られている。OWASPは「意味のある進捗なしに、単一ターゲットへの高頻度・反復的なツール実行」をAIエージェント関与の検知シグナルになりうると指摘した。ただし、これがAI由来であることの証明にはならない。人間が主導する攻撃は、よりステルス性が高い傾向がある。
防御側への提言
OWASPのAI Agent Security Cheat Sheetでは、以下の対策が推奨されている。
- ツールの権限を最小限に制限する
- 外部コンテンツは信頼しない前提で扱う
- 機密アクションにはモデルの判断任せにせず、人間の承認を必須にする
また、関連する懸念として、AIペネトレーションテストパネルの露出が別途報告されている。攻撃に使うAIエージェントのインフラ自体がインターネット上に露出しているケースがあり、エージェントが攻撃の手段であると同時に攻撃対象にもなりうるリスクが浮上している。
詳細はOWASP Warns AI Agents Are Making Cyberattacks Easier for Less-Skilled Hackersを参照していただきたい。
