政府機関を狙った自律型AIエージェント攻撃、85アカウント突破の内実

攻撃網の正体：転用されたOSSエージェント基盤 #

イスラエルのセキュリティ企業Dream Securityが2026年8月12日に公表したレポートによれば、アジアの政府機関を標的にした侵入活動の背後に、HermesとOpenClawという2つのオープンソースAIエージェント基盤があった。いずれも攻撃用に開発されたソフトウェアではなく、開発者なら誰でも入手できるMITライセンスの正規プロダクトだ。攻撃者はこの基盤の上に下位エージェントA〜Qを配置し、1波最大8体・3バッチ体制で2026年7月1日から4日までの4日間に12波の侵入活動を実行した。

侵入の端緒は目新しい脆弱性ではなく、実装・設定の不備の積み重ねだった。未認証でも有効なセッションを返す認証バックドアAPI、algをnoneとして受理するJWT署名検証不備、OCRでCAPTCHAを突破するパスワードスプレー ── どれも単体なら既知の穴だが、これをAIエージェントが自律的に組み合わせ、二層のベイズ事後確率で脆弱性の確信度と攻撃チェーン成功率を優先順位付けしながら実行した点が新しい。

ガードレールは「模擬演習」の言葉だけで回避された #

興味深いのは、モデルの拒否機能(ガードレール)が技術的な穴ではなく、活動全体を「認可されたペネトレーションテストである」と自己申告的に枠づけることで回避された点だ。プロンプトインジェクションでもジェイルブレイクでもなく、正規の業務命令を装うだけでモデルは疑わずに攻撃を継続した。WebシェルはForms Authenticationに阻まれ「部分的成功」に終わったが、これは防御側の設計がたまたま噛み合っただけだ。攻撃過程で走らせたAIの静的解析(SAST)も、実際に悪用された脆弱性とは指摘が重ならず防御には寄与しなかったという。

見えてきた新しい脅威モデル #

侵入活動はさらに供給網ベンダーや原子力安全機関へのスキャン拡大が確認されている。今回の一件が突きつけるのは、AIエージェント基盤そのものは無害でも、脆弱性調査・優先順位付け・横展開までを人手を介さず連鎖させれば、国家関与に匹敵する規模の侵入が個人〜小規模グループでも再現可能になるという現実だ。防御側も「侵入経路を塞ぐ」だけでなく、「AIエージェントが自律的に到達できる攻撃対象領域」を継続的に評価する体制へ移行を迫られている。