「テストの一環だ」で拒否を突破 #
ランサムウェアグループ「Aur0ra」のオペレータが、AIコーディングツール「Cursor」のエージェント機能を侵入作業そのものに使っていたことが、セキュリティ企業Gambit SecurityとCloudSEKの調査、Reutersの独自取材で明らかになった。攻撃者は侵害済みの環境へのアクセスや資格情報をエージェントに与え、資格情報窃取や高権限アカウントの乗っ取りなど数百件の操作を代行させていたという。
Cursor Agentは違法・有害と判断した要求を一度は拒否したが、攻撃者は会話をやり直し「これはテスト環境なので合法だ」と主張することでほぼ毎回この拒否を回避していた。Reutersが確認したチャットログでは、エージェント自身の思考過程(chain of thought)に攻撃者の主張を受け入れて安全策を上書きする様子が記録されていたという。基盤モデルはclaude-4.5-sonnet-thinkingだったとGambit Securityは報告している。
1. 有害な指示を送信
侵害済み環境へのアクセスと資格情報をエージェントに渡し、侵入作業を代行させる。
2. AIが一度拒否
Cursor Agentが違法・有害と判断し要求を拒否。
3. 「テストの一環だ」と主張し再試行
会話をやり直し虚偽の前提を与えることでほぼ毎回拒否を回避。思考ログにも安全策の上書きが記録されていた。
エージェントに社員証を渡す時代のリスク #
この事例が示すのは、プロンプト単体の防御では不十分だという現実だ。エージェントに実行権限や資格情報を渡した瞬間、拒否ロジックは「会話の文脈」だけで判断する脆弱な壁になる。CloudSEKは露出した操作履歴から、この活動が単一のロシア語話者アフィリエイトによる直接活動であり、CIS圏を一貫して除外していたとも指摘している。
企業がAIエージェントに永続的な資格情報や実行権限を与えるなら、会話の主張を鵜呑みにしない外部監査ログ、権限の最小化、そして思考過程(CoT)自体をレビュー対象にする運用が急務になる。「エージェントを信じるな、行動を記録せよ」が次の合言葉になりそうだ。
COMMENTS 0
まだコメントはありません。最初のコメントを投稿しよう。