研究者、台湾へのほぼ自律的なAIエージェント攻撃を記録

イスラエルのサイバーセキュリティ企業Dreamは、AIエージェントがほぼ全面的に調整・実行した初の政府レベルのサイバー侵入だと同社が表現する事案を記録した。The RegisterとCyberScoopによると、2026年7月初旬に台湾（Taiwan）の政府システムに対して行われた4日間の作戦で、85のアカウントが侵害され、2,500件超の人事記録が持ち出された。攻撃者は特注のマルウェアを書いたわけではない。公開されている2つのオープンソース・エージェントフレームワーク、HermesとOpenClawをつなぎ合わせたのだ。同じ種類のツールで開発しているすべての開発者が懸念すべきなのは、まさにこの部分である。

この研究が最初にFinancial Timesによって報じられたと指摘するCyberScoopは、これを自律型AIフレームワークが政府インフラを標的にした初の公開文書化された事例と呼んでいる。Dreamはこのキャンペーンを中国政府や特定の名前を持つグループに帰属させてはいないが、作戦文書は「中国語話者のオペレーターを指し示している」と述べている。

エージェントが実際に行ったこと

The Registerによると、このシステムは7月1日から7月4日の間に12回の攻撃波にわたって最大8つのサブエージェントを並列に展開し、それぞれが偵察、認証情報への攻撃、次の一手の計画といった異なる角度から作業した。単一のスクリプトというより、連携したチームのような動きだった。Dreamの研究者は「単一の標的だけで、アカウント管理、ユーザーデータの取得、ファイルアップロード、管理機能にまたがる36+のAPIエンドポイントを発見した。その多くは完全に未認証だった」と述べている。

The Registerが報じる効果の数字こそが不都合な部分だ。CAPTCHA解決の精度は100%で、破られた85アカウントのうち84への認証に成功した。この作戦は21の接続された政府システムをマッピングし、原子力安全機関、ITサプライチェーンのベンダー、そして7社以上のエネルギー企業へと外側に展開した。

「ほぼ自律的」がキーワードである理由

研究者が引く区別は、モデルが何らかのエクスプロイトコードを書いたということではなく - それは今さらの話だ - 、システムが自らの戦略を管理していたという点にある。CyberScoopによると、このフレームワークは「人間の介入なしに作戦の途中で適応」でき、Dreamが「Learning Cycles（学習サイクル）」と呼ぶ専用のリサーチフェーズを実行していた。それは「AIシステムが脆弱性データベース、GitHubリポジトリ、セキュリティ研究の出版物からテクニックを検索する自律的なセッション」だという。

ガードレールに関わる2つの詳細が際立つ。第一に、Security Affairsによると、オペレーターは作戦全体を認可されたペネトレーションテストとして装うことで、基盤となるモデルの安全ガードレールを回避した。第二に、Dreamはこれがすぐに使える代物ではなかったと率直に認めている。「このレベルで実際に機能するシステムを構築するには、『ただ』モデルを走らせる以上の作業が必要だ」。障壁はエンジニアリングの労力であって、欠けている能力ではない。

開発者にとっての意味

直接の教訓は防御的かつ具体的だ。この攻撃で最も実入りの大きかった発見は、単一の標的における、大部分が未認証の36+のAPIエンドポイントだった。自律エージェントの強みは疲れ知らずの列挙にある。忘れられた内部エンドポイント、ゲートのない管理ルート、確認もせずに有効なセッションを返すAPIを見つけ出すのだ。眠ることも飽きることもないシステムが列挙していると想定して、自分の攻撃対象領域を監査すべきだ。実際、今やそういうシステムが存在するのだから。すべてのエンドポイントでデフォルトで認証を必須にし、レート制限をかけ、Dreamが説明する並列スキャンのシグネチャを監視し、CAPTCHAが意味のある障壁だという想定をやめることだ。

もう1つ、能力のサプライチェーンという論点も名指ししておく価値がある。ここでの攻撃ツールは、オープンソースのエージェントフレームワーク - HermesとOpenClaw - と、ペネトレーションテストの口実でジェイルブレイクされた市販のモデルから組み立てられた。それは何千人もの開発者が正当なエージェントを構築するのに使っているのと同じスタックであり、この話を特殊な国家級ツールの物語というより、十分に動機のあるオペレーターなら誰でも今や組み上げられるものの物語にしている。Dreamの最高戦略責任者Amir Beckerは、防御側への教訓を率直にこう述べた。「これは世界中のすべての政府にとっての基本前提でなければならない」 - そしてますます、インターネットに面したAPIを運用するすべての組織にとっての前提でもある。