AIが工場・発電所を制御するPLCへの攻撃を自動生成 — 米政府が警告、「攻撃コストは崩壊したが防御コストはそうではない」

8月21日、The Hacker Newsが「AI-Generated Exploit Scripts Target Siemens S7 PLCs in U.S. Critical Infrastructure」と題した記事を公開した。台湾の政府機関を狙ったほぼ自律的なサイバー攻撃では、AIエージェントが4日間で85件の認証情報を解読し、2,564件以上の人事記録を流出させた——これは、AIが産業制御システム（ICS）攻撃の参入障壁を根本から変えつつあることを示す象徴的な事例だ。NSA・CISA・FBI・DOE・EPAは共同勧告を発し、米国の重要インフラを担うSiemens S7シリーズPLCへのAI生成攻撃スクリプトを使った攻撃に警鐘を鳴らしている。

台湾を標的にした「マルチエージェント自律攻撃」

AIを使った攻撃の深刻さを示す事例が、本件の本質を端的に映し出している。イスラエルのサイバーセキュリティ企業Dreamが先週公開したレポートによると、アジアの政府機関を標的にしたほぼ自律的な攻撃が観測された。Financial TimesとReutersは標的が台湾だったと報じており、台湾のデジタル部も中国語圏のオペレーターによるものとみられる攻撃を認めた。

この攻撃は2026年7月1〜4日にかけて12波にわたって実施された。攻撃の中核を担ったのが、HermesとOpenClawエージェント上に構築されたAIフレームワークだ。Hermesは自律エージェントの計画・推論レイヤーを担うフレームワーク、OpenClawはウェブ操作・APIインタラクションなどの実行タスクを担うエージェント基盤で、両者を組み合わせることで「考えて動く」攻撃システムが構成される。このフレームワークが最大8つのサブエージェントを並列で動かし、侵入の各工程を自動化した。各サブエージェントは以下の役割を担った：

A – SSOエクスプロイトと認証情報攻撃
B – JWTバイパステストとCAPTCHAブルートフォース
C – 複数の政府ポータルにわたる偵察
D – APIスキャンと管理パネルバイパス
E – CVE調査と脆弱性チェーンのテスト
F – サプライチェーンターゲットの評価
I – Tesseract OCRを使ったCAPTCHAバイパスによるパスワードスプレー
Q – 深層APIエンドポイントエクスプロイト

このフレームワークは、リクエストボディに関わらず認証済みセッションを返す隠しAPIエンドポイントを発見し、それを足がかりにパスワードスプレー攻撃で85アカウントを突破。最終的に2,564件以上の人事記録、7つのSSOクライアントシークレット、MSSQL・Oracle・Sybaseにまたがる6つの内部DBクレデンシャルなどを窃取した。

さらにフレームワークは攻撃を政府のITサプライチェーンベンダー、核安全機関、政府メールシステム、エネルギー企業7社以上にまで拡大し、それらを並列でスキャンした。

Dreamはレポートの中でこう述べた：

「約4日間で、エージェント型攻撃者は1,395ファイルを生成し、85件のクレデンシャルを解読し、数千件の人事記録を流出させ、国家インフラ内に永続的な足がかりを得た。これは一つのことを明確に示している——有能な攻撃を実行するコストは崩壊したが、それに対して防御するコストはそうではない」

AIがOT攻撃の参入障壁を下げた

米政府の共同勧告が指摘する問題の核心は、攻撃者がAIを活用することで、これまで高度な専門知識を要していたICS攻撃の技術的障壁が大幅に下がった点にある。攻撃者はCensysやZoomEyeといったインターネットスキャンサービスを使い、古いソフトウェアで動作する、または保護が不十分なインターネット公開PLCを特定する。発見されたターゲットに対しては、AIが生成したエクスプロイトスクリプトを使って初期アクセス、認証情報の窃取、サービス妨害（DoS）などを試みる。

標的となっているSiemens PLCモデルは以下の通りだ：

S7-200シリーズ（全CPUバリアント）
S7-300シリーズ（314、315、317モデルを含む全CPUバリアント）
S7-400シリーズ（全CPUバリアント）
S7-1200シリーズ（CPU 1211C、1212C、1214C、1215C、1217C）
S7-1500シリーズ（Fシリーズセーフティコントローラを含む全CPUバリアント）

「正規の監視ツール」に偽装したPythonスクリプト

脅威アクターが展開するツールの中で特に注目されるのが、カスタムPythonスクリプトだ。このスクリプトは、オープンソースの産業自動化ライブラリであるsnap7.dllまたはpython-snap7を組み込み、正規の監視ユーティリティを装う。S7commプロトコル（SiemensのPLCが使用する独自通信プロトコル）を通じて、PLCのメモリ、設定データ、ラダー回路プログラムへの読み書きアクセスを可能にする仕組みだ。

既知の脆弱性、公開されたエクスプロイトライブラリ、そしてAI支援による開発の組み合わせが、不十分に保護されたPLCインストール環境に対して「高確率の攻撃シナリオ」を作り出していると各機関は指摘する。

影響を受けうるセクターは、重要製造業、エネルギー、水道・廃水処理、化学、食品・農業、商業施設と幅広い。PLCが侵害された場合、産業プロセスの停止、安全インシデント、設備損傷、機密データの漏洩、そして相互接続されたシステム全体への連鎖的な影響が生じうる。

推奨される対策

各機関は、OT（運用技術）システムの所有者・運用者に対して以下の対策を講じるよう求めている：

PLCを最新バージョンに更新する
インターネットから隔離する
強固なアクセス制御を実装する
ICS環境の異常・悪意ある活動を検知するためのセキュリティ監視ツールを導入する

OT環境においてこれらの対策が特に重要なのは、ITシステムと異なりPLCのファームウェア更新や運用停止が容易でなく、一度侵害されると物理的な設備被害や人的安全への影響に直結するためだ。とりわけ「インターネットからの隔離」は、CensysやZoomEyeによるスキャンで発見されること自体を防ぐ根本的な対策であり、OTセキュリティの基本原則であるネットワークセグメンテーションの実践として最優先で取り組むべき措置といえる。

詳細はAI-Generated Exploit Scripts Target Siemens S7 PLCs in U.S. Critical Infrastructureを参照していただきたい。