10月30日、Wiredが「A Defense Contractor Gave Their Personal AI Agent Access to a Secure Pentagon System」と題した記事を公開した。この記事では、国防総省（DoD）のセキュアなネットワークにAccentureの契約社員が個人用のAIコーディングエージェントを接続し、機密性の高い情報が外部に送信された可能性があるセキュリティインシデントについて詳しく紹介されている。以下に、その内容を紹介する。

個人用のClaudeエージェントがペンタゴンのネットワークに2ヶ月間接続し続けた

今年初め、Accentureの契約社員が、複数の情報機関で使用されているDoDの集中管理システムに、個人アカウントの**Claude Code**（AnthropicのAIコーディングエージェント）を接続するという事案が発生した。

このエージェントはコードを書くだけでなく、社員に代わってコードをシステムにコミット（保存・展開）する権限も持っていた。そのため、契約社員は自分のログイン認証情報をClaudeエージェントに渡し、管理者アクセスを付与していた。エージェントはタスクを実行するためにインターネットへの外部接続が必要で、その過程でログイン認証情報、パスワード、そしてNIPRNetのネットワーク構成図（マップ）がNISTが高リスクと評価している第三者サービスに送信されたとみられる。

この状態が約2ヶ月間続き、発見されて脆弱性が修正されるまでの間、エージェントはDoDネットワーク上で動作し続けた。

何が漏洩した可能性があるか

接続されたシステムが格納しているのはCUI（Controlled Unclassified Information：管理対象非機密情報）だ。CUIは機密扱いではないものの、審査なしに公開することは禁止されている。具体的には以下のような情報が含まれる。

• 重要インフラの防護に関する情報
• 核潜水艦の推進システム関連情報
• 化学・生物テロへの脆弱性情報
• 爆発物・危険化学物質・パイプラインの防護情報
• 放射性物質の正確な場所と数量

情報機関のセキュリティコンサルタントであり元NSAハッカーのJake Williamsは、このインシデントについて「巨大な問題であり、国家安全保障への影響は計り知れない」と述べた。さらに、個々のCUI情報は機密でなくても、複数のCUI情報を集約すると機密扱い相当になりうると指摘する。たとえば、特定の危険物質の保管場所と、それを格納する施設の脆弱性の情報を組み合わせれば、機密扱いの情報を生成できてしまう。

加えて、ネットワーク構成図（マップ）の流出は別種の脅威をもたらす。「攻撃者がシステムの全体像を把握できれば、仮にその情報が公開情報であっても、それをどう組み合わせているかが敵にとって価値ある情報になる」とIT コンサルティング会社Hunter StrategyのMatt Trinerは言う。マップ単体でシステムへの侵入は困難でも、攻撃者がいったんアクセスを得た後に「どこに最重要データがあるかを素早く把握する」ための道標になる。

NIPRNetからSIPRNet・JWICSへの波及リスク

このインシデントが特に深刻なのは、NIPRNet（非機密インターネットプロトコルルーターネットワーク）が、より機密性の高いSIPRNet（機密情報向けの軍用セキュアネットワーク）やJWICS（最高機密向けのイントラネット）への「テスト環境」として使われているからだ。SIPRNetとJWICSはエアギャップ（外部ネットワークから物理的に切り離された状態）で保護されているため、リモートからの侵入は極めて困難だ。

しかし、流出したNIPRNetの認証情報を使えば、攻撃者はNIPRNetに侵入し、SIPRNet・JWICSに展開される予定のツールやコードにバックドアを仕込める可能性がある。Williamsは「コードがNIPRで正常に動作しつつ、SIPRネットワークでは悪意ある処理をする、というシナリオは100%ありうる」と断言した。

Accentureの対応と報告義務の問題

DoDの職員と連邦政府の請負業者は、サイバーセキュリティインシデントを発見から72時間以内に報告する義務がある。しかし情報提供者によれば、Accentureは当初、政府にこの侵害を報告しなかった。また、インシデントを把握したAccentureの社員たちも、事態を深刻・緊急のものとして扱わなかったという。

Accentureは現在、連邦政府と35億ドル以上の契約を結んでおり、そのうちDoDとの契約は約6億500万ドルに上る。同社の広報は「allegationsは徹底的かつ独立した調査を行い、merit（根拠）がないと判断された」と回答したが、誰が調査を行ったかは明らかにしなかった。また、インシデント自体の存在は否定しなかった。

なお、今月初めにはFBIがAccentureの別の請負業者について、脆弱性パッチ未適用が原因でハッカー集団ShinyHuntersにFBI職員数千人の情報が流出した問題を公表し、その請負業者を10月初旬に契約終了している。

AIエージェント時代のコード審査の限界

「バイブコーディング（vibe coding）」、つまりエンジニアがAIにコードを丸ごと書かせる開発スタイルが普及するにつれ、生成されたコードの審査は現実的に追いつかなくなりつつある。

DoDはNIPRNet上の欠陥コードを検出するためにSAST（静的アプリケーションセキュリティテスト）を導入しているが、Williamsは「バックドアは脆弱性ではない。SASTの検出をすり抜けてしまう」と指摘する。さらに「エージェントを使う場合、最終的にコードを生成したサプライチェーンや推論の連鎖を把握できない。LLMが学習したコードの多くはそれ自体脆弱であり、同じ構造的問題を再現してしまうリスクがある」と述べた。

今回のインシデントは、AIエージェントをめぐるガバナンスの空白が、個人の判断ひとつで国家安全保障レベルのリスクに直結しうることを示している。DoDはClaudeの使用を禁止しているにもかかわらず、それが守られなかった事実は、ポリシーと現場の乖離の深刻さを示している。

詳細はA Defense Contractor Gave Their Personal AI Agent Access to a Secure Pentagon Systemを参照していただきたい。