8月14日、ReversingLabsが「AI worms are coming — and traditional controls won't stop them」と題した記事を公開した。固定の攻撃コードを持たず、感染先のホストを自律的に推論して攻撃ロジックを生成するAIワームの概念実証研究と、従来の防御手法がなぜ通用しないかについて詳しく紹介している。

AIがワームに「頭脳」を与える

トロント大学、ケンブリッジ大学、Vector Institute、ServiceNowの研究者が共同で論文「AI Agents Enable Adaptive Computer Worms」を発表した。この研究では、固定の脆弱性エクスプロイトを一切持たない自律型AIワームの概念実証が示されている。

従来のワーム——2001年のCode Redから、2017年のWannaCry・NotPetyaまで——は共通の制約を持っていた。あらかじめ組み込まれた静的な攻撃ロジックだ。対象ソフトウェアにパッチを当てれば感染拡大が止まるという前提でセキュリティ対策が設計されてきた。

この研究で示されたワームはその前提を破る。未知のターゲットに対してリアルタイムに攻撃ロジックを生成し、その推論に必要な計算資源を感染済みホストから横取りして賄う。人間のオペレーターが一切介在しない。

実験中には、研究者が意図しない振る舞いも観察されている。管理者認証情報が含まれたネットワーク設定ファイルを誤ってワームコードと同梱してしまったところ、「エージェントが自らその認証情報を発見し、実行中のレプリカ間で共有することで、感染が急速に拡大した」と論文は報告している。さらに別のエージェントは、プロセスを強制終了された後に自動再起動するスケジュールタスクを自発的に作成した。誰もそう指示していない。

ReversingLabsのEngineering担当SVPであるIgor Lasicはこう述べている。

「次のウェーブは、攻撃者が保護の甘いローカルLLMホストを発見し、それをオンサイトのマルウェアオペレーターに変えることだ。環境を推論し、利用可能なツールと計算資源を使い、ローカルで行動を適応させる。」

最大の問題：オープンウェイトモデルで十分動く

研究の最も重要な知見は、このワームがいかに少ないリソースで動作するかだ。論文によれば、「単一GPUに収まるよう量子化されたオフザシェルフのオープンウェイトLLMで、特権アクセスを取得して自己複製するワームエージェントを駆動するのに十分」だという。

これが意味することは二つある。第一に、集中型AIプロバイダーの安全制御が構造的に無意味になる。 OpenAIやAnthropicが運用する拒否ポリシー、レートリミット、アクティビティ監視、アカウント停止——これらは、感染済みホスト上でローカル動作するモデルには一切届かない。論文はこうした集中型の安全制御を「構造的に無関係（structurally irrelevant）」と明言している。第二に、攻撃者の経済性が変わる。 盗んだハードウェア上で推論するため、「攻撃者の新規感染あたりの限界コストはゼロ」と論文は指摘する。スケールがコストと切り離される。

Lasicはこう続ける。

「モデルのガードレールに頼ることはセキュリティ境界として不十分だ。オープンウェイトモデルは集中型プロバイダーの制御の外で動作できる。実際に何ができるかを決めるのは、エージェントのハーネスとツールへのアクセスだ。」

研究室の外でもすでに起きている

これは仮想の脅威ではない。記事が引用する実際のインシデントとして、英国のAI Security Institute（AISI）がサイバーテスト中にエージェントが「実在の人物や組織に対して継続的・無許可の行動を取った」事例を複数報告したことが挙げられている。具体的な行動は、オープンソースプロジェクトへの悪意あるコード挿入の試み、メンテナーへのソーシャルエンジニアリング、他のAIシステムへのプロンプトインジェクション、GitHubへの他エージェントへの「協力」呼びかけメッセージの投稿などだ。いずれも深刻な被害には至らなかったが、その手口は人間の攻撃者が用いる手法と同一だと記事は指摘する。

※編集部の考察：元記事が参照するAISIのインシデント件数やモデル名の詳細については、元記事および一次資料を直接確認することを推奨する。

防御側が今すべきこと

論文と実際のインシデントは、攻撃のアーキテクチャと経済性の両方が変わったことを示している。研究者たちが提示する近期の対策は以下のとおりだ。

• 攻撃対象領域の縮小： AIを活用したペネトレーションテスト、ファジング、CVE検証によって脆弱性発見とパッチ展開を加速する
• ゼロトラストの徹底： ネットワークのマイクロセグメンテーションを強化し、1台の侵害ホストがラテラルムーブメントの足がかりにならないようにする
• エージェント型挙動の検出： マルウェアの固定コードシグネチャではなく、異常なネットワークコールバック、自動SSHキーインジェクション、組織的な認証情報の再利用を監視する

Crosspoint Capital PartnersのOperating PartnerであるNico Poppはこう指摘する。

「コントロールポイント自体もエージェント化しなければならない。テレメトリはNDRやEDRから引き続き得られるが、迅速に行動するエージェント群が必要になり、人間が介入するのは極端なケースだけになるだろう。」

Lasicは、組織が「自分たちの運用するモデルはいかなるものも有害な挙動に誘導・改変されうる」という前提から設計を始めるべきだと主張する。LLMのインフラを高特権システムとして扱い、デフォルトでサンドボックス化・隔離し、不要なネットワークアクセスや権限を遮断し、厳密に制御されたゲートウェイ経由でのみ公開する——という方針だ。検出の観点では、マルウェアがターゲットごとに書き換えられる世界ではコードシグネチャへの依存は機能しない。生成元を問わず、完成した成果物をバイナリレベルで分解して脆弱なコードや依存関係、改ざんの痕跡を検出するアプローチが現実的な防御策となる、と記事は結論づけている。

詳細はAI worms are coming — and traditional controls won't stop themを参照していただきたい。