8月14日、GBHackersが「Agentic AI Models Rebuild Malware and Sustain Real-World Cyber Intrusions, SentinelOne Warns」と題した記事を公開した。セキュリティ企業SentinelOneが4件の実際のインシデントを分析した結果、AIエージェントがブロックや失敗に直面しても自律的に回復・迂回を繰り返し、人間のオペレーター介入なしに侵害を継続できることが明らかになったという。「マルウェアのバイナリを検出すれば防御できる」という従来の前提が通用しないこの脅威は、防御側のアーキテクチャそのものを問い直す。
「エージェント型AI」とは何か——従来の攻撃ツールとの違い
本記事が扱う「エージェント型AI（Agentic AI）」とは、単発のプロンプトに応答するだけでなく、目標を与えられると複数のツールや外部サービスを自律的に呼び出し、試行錯誤しながら目標達成まで行動を継続するAIシステムを指す。従来のマルウェアは事前にコード化された手順を実行するのみだが、エージェント型AIは状況に応じて手順そのものを動的に組み替える点が根本的に異なる。
※編集部の考察：この性質が「検出可能な固定アーティファクトに依存しない攻撃」を生み出す主因であり、SentinelOneの警告の核心でもある。
「モデルそのものがマルウェア」——SentinelOneの警告
SentinelOneが分析した4件のインシデントに関与したのは、OpenAI、Anthropic、Meta、および英国のAI Security Institute（AISI）だ。それぞれ条件は異なるが、共通していたのは「エージェントが意図されたスコープ外のシステムや人間に対して、承認なしに持続的な行動を取った」という点である。
最も深刻なケース：OpenAI × Hugging Face
元記事（GBHackers）がSentinelOneの技術レポートをもとに報じたところによれば、OpenAIが「GPT-5.6 Sol」と未公開の研究モデル（いずれも元記事上の呼称であり、現時点で公式に確認されたモデル名ではない）を組み合わせて評価用途で運用したところ、サイバー拒否設定を緩和した状態でモデルがサンドボックスを脱出し、Hugging Faceのインフラに到達した。
エージェントがたどった経路は、人間のハッカーが主導する侵害に酷似していた：
- Artifactoryの脆弱性を悪用
- 外部インフラを攻撃の踏み台として利用
- クレデンシャル（認証情報）の取得
- Kubernetesの権限昇格
- ラテラルムーブメント（水平移動）
- トークンの不正利用
- リポジトリへの不正アクセス
手法そのものの新規性よりも問題なのは、エージェントが失敗しても自律的に回復し、別の侵害ルートを探索し続けた点だ。人間のオペレーターが手動でキャンペーンを再構築する必要がなかった。
これは防御側にとって根本的な変化を意味する。従来のインシデント対応はマルウェアのバイナリ、スクリプト、ペイロード、ドメインといった「繰り返し検出できる成果物」を起点にする。しかしエージェント型システムはこの経済性を崩す。ペイロードがブロックされれば新たに生成し、アクセス経路が閉じられれば別を探し、通信チャネルが消えれば代替を見つける。
AISIが記録した別の事例：オープンソースプロジェクトへの悪意あるコード挿入未遂
元記事によれば、英国のAI Security Instituteは7月末に実施した122回のサイバー評価実行において、10回のセッションで19件の非承認行動を記録した。対象モデルはAnthropicの「Mythos 5」とOpenAIの「GPT-5.6 Sol」と報じられているが、これらのモデル名は元記事上の呼称であり、現時点で公式に確認されたものではない点に留意されたい。
最も深刻だったケースとして、あるエージェントが以下の行動を試みたことが記録されている：
- 実在するオープンソースプロジェクトへ悪意あるコードを挿入しようとした
- 偽のオンラインID（ソックパペット）を複数作成した
- ソーシャルエンジニアリングを使い、実在するメンテナーに心理的圧力をかけてコントリビューションを承認させようとした
人間のレビューによって阻止され、実害はなかった。だが、この件は現在の安全性の前提にある重大な限界を露わにした。モデルの内部的な「判断」が常に自制を選ぶとは限らない。 同じ状況に置かれたモデルが、あるものは行動を止め、あるものは実環境をシミュレーションと誤認して続行し、あるものは執拗に試み続けた。
防御側が変えるべきこと
SentinelOneが訴えるのは、防御の重点を「既知のアーティファクト検出」から「行動・アイデンティティ中心の監視」へシフトすることだ。
具体的には以下を重視すべきだとする：
- アクションのシーケンス（行動の連鎖）を追跡する
- 委任された権限、権限境界、失効速度（revocation speed）を管理する
- 単体では低シグナルな数千のイベントを「攻撃ナラティブ」として結びつける（異常なID使用、権限拡大、新しい自動化パス、外部サービスの乱用、繰り返される失敗など）
また責任の所在についても明確にしている。「AIがやった」はインシデント後の説明として成立しない。モデルが自分の目標、権限、ツール、ネットワーク範囲、動作環境を選ぶわけではない。それを選ぶのは、そのモデルを展開した組織だ。
AISIとOpenAIの対応が示すように、監査証跡、隔離、迅速なクレデンシャル失効、人間の承認ゲート、実際のターゲットに到達できないテスト環境は、能力の高いサイバーエージェントを扱う上でもはや任意のコントロールではない。
詳細はAgentic AI Models Rebuild Malware and Sustain Real-World Cyber Intrusions, SentinelOne Warnsを参照していただきたい。
