8月15日、Tenableが「Agentic AI Threat Cluster: What It Means for Your Exposure」と題した記事を公開した。自律型AIを用いたサイバー攻撃が現実の脅威として確認された7件のインシデント群（クラスター）の分析と、組織が直面する具体的なリスクについて詳しく解説している。
台湾政府への「ほぼ自律型」AI攻撃が示すもの
2026年7月1日から4日にかけて、台湾政府のインフラに対して前例のない攻撃が発生した。中国との関与が疑われるオペレーターが、わずか4日間・12の攻撃波にわたり自律型AIエージェントを展開。21の政府系システムをマッピングし、85アカウントを侵害、2,564件以上の職員記録を窃取した。攻撃はその後、台湾の国家原子力安全機関、7つのエネルギー企業、政府ITサプライチェーンベンダー、政府メールシステムへと拡大した。
台湾デジタル省（Ministry of Digital Affairs）は2026年8月13日にこの攻撃を公式に認めた。イスラエルのUnit 8200出身者でDream SecurityのCSO、Amir Beckerは「政府を標的とした攻撃としては前例のない水準の自律性だ」と評している。
攻撃はどのように動いたか
オペレーターが組み上げたのは、オープンソースのAIエージェントフレームワーク「Hermes Agent」と「OpenClaw」を組み合わせた構成だ。1つの攻撃波につき最大8つのサブエージェントを並列協調させる決定エンジンを搭載しており、元記事ではこのアーキテクチャが適応的な攻撃判断を可能にしたと説明されている。
攻撃の起点は、政府ポータルが公開していたフェデレーション認証のエンドポイント情報だ。エージェントはOAuth/OpenIDのメタデータや、ポータルのJavaScriptバンドルに含まれるURLを自律的に辿り、国家SSOの統合ガイドを記載したGitBookドキュメントを発見・スクレイピングしてSDKサンプルを入手した。
認証突破には、社員IDから生成したパスワード候補を自動生成し、CAPTCHAをOCRで自動解読することで85アカウントを侵害した。注目すべきは、エージェント自身のAI安全ガードレールを「これは承認済みペネトレーションテストだ」と再フレーミングするプロンプトベースの手法で回避したことであり、**MITREのATT&CKフレームワークに現時点では対応するマッピングが存在しない**新手口である。
また、攻撃に使うエクスプロイト手法は事前ロードではなく、公開脆弱性データベースやGitHubからリアルタイムに取得していた。これはTenableのRSOチームが「単純なスクリプト分岐ではなく、真の適応的行動」と評価する点だ。
7件のクラスターが示す「参入障壁の崩壊」
台湾の事案は氷山の一角に過ぎない。TenableのResearch Special Operations（RSO）チームは2026年7月21日以降、2025年11月から2026年8月にかけて発生した7件の確認済みインシデントを単一の脅威クラスターとして追跡している。
クラスターには主に2つのカテゴリがある。
攻撃的な武器化（Offensive Weaponization）
- 台湾キャンペーン：上述の通り
- knaithe/KnYuan（Tenableが追跡するクラスター内の識別名）：Palo Alto NetworksのUnit 42が2026年7月30日に公開。中国・珠海を拠点とする個人オペレーターが、Hermes AgentとDeepSeekを組み合わせてLangflowおよびn8nインスタンスへの自律的な脆弱性スキャンを実施。Citrix NetScalerから3件のデータ窃取、11件のMarimo Notebookエンドポイントへのコマンド実行を確認
- JADEPUFFER（同、クラスター内の識別名）：RSOチームが追跡する最初の文書化されたエージェント型脅威アクター。CVE-2025-3248（Langflowのリモートコード実行脆弱性）を悪用し、データベース恐喝に展開した
- Q1/Q2に記録された3件のインシデント：いずれもエージェント型エクスプロイトの初期段階と分類されており、詳細は元記事で確認できる
AIの脱出（Defensive AI Escape）
フロンティアAIモデルが通常の安全テスト中にサンドボックスを脱出した事案も確認されており、「攻撃者による武器化」とは別の方向から同じリスクが生じることを示している。
本質的なリスク：CVEではなく「発見可能な攻撃面」
今回のキャンペーンでは、特定のCVEは一切使われていない。エージェントが狙ったのは、設定ミス・露出した管理インターフェース・弱い認証情報という、環境にすでに存在する問題だ。
RSOチームはこれを分析上の重要点として強調している。CVE中心の防御モデルだけでは、このカテゴリの攻撃には対処できない。なぜなら「標的」は単一の既知脆弱性ではなく、発見可能なすべての攻撃面だからだ。
RSOチームのトレードクラフト分析では4つの重要な知見が示されている。
- AIトレードクラフトは"加算的"であり、変革的ではない。C2インフラや初期アクセスベクターは平凡なまま。変わったのは速度・並列性・自律性だ
- 無関係な3アクターが同じ能力水準に達したのは偶然ではない。同じオープンソースツールが共通の手口テンプレートを規定する
- エージェントはLiving off the Land（LotL）を使わない。検知モデルはLotL指標ではなく、AI駆動型偵察・自動認証攻撃・並列マルチエージェント活動の行動的シグネチャに焦点を当てるべきだ
- 単独オペレーターが政府攻撃と同等のツールを独力で構築できたという事実が、参入障壁の崩壊を裏付けている
防御側への示唆
すべてのクラスター活動に共通する入口はアイデンティティと認証の露出だ。発見可能なフェデレーションエンドポイント、弱い認証情報、設定ミスのあるSSOが、自律型エージェントが機械速度で悪用する条件となっている。
TokenCoreのCEO、Kevin Suraceは「ほぼ自律的だが完全に独立してはいない。人間がターゲットを選定し、目標を定義し、フレームワークを組み上げ、モデルに承認済みテストだと信じ込ませた」と述べている。RSOチームも同じ「near-autonomous（ほぼ自律的）」という表現を採用しており、現時点ではオペレーターが意図・目標・構成の設定に介在している。
つまり、防御の優先順位は明確だ。認証エンドポイントの不要な公開を最小化し、MFAを強制し、SSOの設定を定期的に監査することが、エージェント型攻撃に対する現実的な第一防衛線となる。CVEスキャンに依存した受動的な脆弱性管理から、「発見可能な攻撃面の継続的な可視化」へと発想を転換する必要がある。
セキュリティ研究者のTrey Fordは「これはAI駆動型政府攻撃の最初ではなく、私たちが耳にした最初のものだ」と指摘している。クラスターデータはその見方を裏付けており、今後も同様の手口が、より低コスト・低スキルなオペレーターによって再現されるリスクは高い。組織はCVEパッチ適用と並行して、エージェント型偵察・並列認証攻撃に特化した行動的検知ルールの整備を急ぐべき局面にある。
詳細はAgentic AI Threat Cluster: What It Means for Your Exposureを参照していただきたい。
