8月25日、Cyber Security Newsが「Eight AI Agents Breach Government Systems, Crack 85 Accounts and Steal 2,500+ Records」と題した記事を公開した。セキュリティ企業Dreamによる事後解析レポートをもとに、AIエージェントフレームワークを活用した攻撃キャンペーンがアジアの政府システムを侵害し、85アカウントを突破して2,500件以上の個人情報を窃取した事例の詳細を報告している。

最大の新規性：「学習しながら攻撃する」フィードバックループ

従来の自動スキャンツールとこの攻撃フレームワークが根本的に異なる点は、攻撃の各波が次の波へのインプットになるフィードバックループを内包していることだ。

具体的には、各攻撃波の完了後に構造化レポートを自動生成し、ベイズ確率スコアリング（事前の成功率・失敗パターンを確率論的に評価し、次に試みる手法の優先順位を算出する手法）で次の攻撃パスに優先順位をつける。ある手法が失敗した場合は「ラーニングサイクル」として公開脆弱性情報を自動検索し、代替手段を探す。誤検知の除去も行っており、SQLインジェクションと疑われた挙動をSMTPタイムアウトによるものと判断して棄却した記録も残されていた。

この設計により、防御側の対応が一つの攻撃ベクタをブロックしても、フレームワーク側が即座に迂回路を探索・試行するという非対称な状況が生まれる。本事例における「防御の困難さ」は、単純な攻撃速度の問題ではなく、この適応的なループ構造に起因している。

ただし、全攻撃が成功したわけではない。Webシェルのアップロードを試みたファイルアップロードエンドポイントでは、二次的なフォーム認証レイヤーが実行を阻止している。フィードバックループは万能ではなく、適切な多層防御が機能した局面もあった点は付記しておきたい。

AIエージェント8体が並列でアジア政府システムを攻撃

Dreamの調査によれば、使用されたのはオープンソースのAIエージェントフレームワーク「Hermes」と「OpenClaw」を組み合わせた構成だ。HermesはLLMベースの攻撃オーケストレーション層、OpenClawは個別タスクを実行するサブエージェント群として機能するとされているが、両ツールはセキュリティリサーチコミュニティ外ではほぼ知られていない。Dreamのレポート外での公開情報は限られており、GitHubなどでの公開状況は執筆時点で確認できていない。

攻撃は2026年7月1日〜4日の4日間、12波にわたって展開された。研究者らは160MBのアーカイブ（1,395ファイル）を発見・解析することで全容を把握している。最大の特徴は、最大8つのサブエージェントが並列で動作し、偵察・認証情報攻撃・APIテスト・データ収集・ラテラルムーブメント（横断的移動：最初に侵入した端点から内部の別システムへ水平方向に移動する手法）を自律的に実行した点だ。

攻撃の操作ドキュメントには簡体字中国語（内部報告）と繁体字中国語（ターゲット分析）が混在しており、Dreamは中国語話者のオペレーターが関与していると推測している。標的となった政府機関の所在地について、Dreamのレポートは「アジアの政府機関」とのみ記載している。一部の外部報告ではより具体的な地域を特定しているが、Dreamの一次資料の範囲を超えるため本稿では明示を控える。

攻撃チェーンの詳細：どう侵入し、何を盗んだか

攻撃の起点は政府ポータルのJavaScriptバンドルの解析だった。エージェントはここからAPIエンドポイント、OAuthクライアントID、Keycloak（Red Hat発のオープンソース認証・認可基盤。SSOやOIDCの管理に広く使われる）の設定情報、認証情報を抽出。最終的に21の連携政府システムをマッピングし、SSO（シングルサインオン）インフラの全体像を把握した。

攻撃に悪用された脆弱性は複数に及ぶ：

• 認証不要のAPIエンドポイント：氏名・部署・SSOアカウント識別子など従業員情報を無認証で取得可能だった
• パスワードスプレー攻撃：公開APIから収集した従業員ユーザー名を使い、CAPTCHAをOCRで突破しながら予測可能なパスワードパターンを試行。85アカウントの突破に成功
• JWTのnoneアルゴリズム問題：JWT（JSON Web Token）の仕様（RFC 7519）では、署名アルゴリズムとしてnoneを指定することで署名検証をスキップできる実装が許容されていた時期があり、これを悪用すると署名キーなしでトークンを偽造できる。古典的かつ今なお現れる実装ミスであり、多くのライブラリはデフォルトで無効化しているが、設定によっては依然として有効な状態で稼働しているケースがある
• 認証不要の隠しAPIエンドポイント：認証済みセッションをそのまま返すエンドポイントを発見・悪用

クラックされた85アカウントのうち84（成功率98.8%）がSSOブリッジ経由で内部情報システムへの認証に成功。内部ダッシュボード、機器管理ツール、人事統計ページへのアクセスを得た。

最終的に窃取したデータは合計2,564件の個人情報で、内訳は職員エントリ1,409件、公開APIからのユーザーレコード916件、法務省エンドポイントからの法律専門職レコード239件。さらに内部ネットワークのIPレンジ、SSOクライアントシークレット7件、データベース認証情報6件も持ち出された。

防御側が対処すべき優先事項

Dreamはこの事例を踏まえ、防御側が優先すべき対策として以下を挙げている：

• 公開APIの認証・認可の徹底確認
• SSOの信頼関係設定の見直し
• JWTのnoneアルゴリズム無効化（ライブラリのデフォルト設定に依存せず、明示的に無効化する）
• クレデンシャルスプレー対策（レートリミット、異常ログイン検知）
• パブリックアクセス可能なデバッグエンドポイントの閉鎖

注目すべきは、これらの対策項目の多くが「古典的な設定ミス」の是正であるという点だ。JWTのnoneアルゴリズムは10年以上前から知られる問題であり、認証不要のAPIエンドポイントも基本的な設計ミスに分類される。AIエージェントフレームワークが新しくても、それが突いた穴は既存の技術債務だった。本事例が示すのは、AIによる攻撃の高度化という側面だけでなく、放置された既知の脆弱性がフィードバックループ型の自動化ツールと組み合わさったとき、被害の速度と規模が飛躍的に拡大するという構造的なリスクだ。防御の起点は依然として基本的なセキュリティ衛生の徹底にある。

詳細はEight AI Agents Breach Government Systems, Crack 85 Accounts and Steal 2,500+ Recordsを参照していただきたい。