自律型AI攻撃が重要インフラに新たな脅威をもたらす
Google Newsは、報告された初の事例に注目している。自律型AIシステムが台湾政府の85アカウントを侵害し、2,500件を超える職員記録を盗み出したという。
研究者らは、この4日間に及ぶキャンペーンを、中国と連携しているとみられるハッカー集団と結び付けた。このシステムはその後、台湾の原子力安全機関と少なくとも7社のエネルギー企業を標的にし続けたと報じられている。
これらの調査結果は、完全な独立検証を受けたわけではない。しかし、2026年初頭には成り立っていたセキュリティ上の前提を揺るがしている。AIは攻撃者を支援できても、難しい部分は依然として人間が指揮しなければならない、という前提だ。
報告された台湾での作戦は、その境界が薄れつつあることを示唆する。攻撃者らは、8つのオープンソースAIモデルを組み合わせ、ネットワークのマッピング、脆弱性の調査、侵入の試行、失敗した計画の修正を行えるプラットフォームを構築したとされる。
この違いは重要だ。AI支援型の攻撃者は、モデルにコードや調査を求める。自律型攻撃では、ソフトウェアにツール、権限、目標、フィードバックを与え、複数の段階にわたって処理を継続させる。
その結果は、必ずしもより賢いハッカーではない。同時に複数の経路を試し、ありふれた手法をマシン速度で繰り返せる、疲れを知らない攻撃者である。
2月の安全性評価では、完全自律型の攻撃は、長い一連の処理における信頼性の低さによって依然制約を受けているとされた。台湾での調査結果は今、この結論に圧力をかけている。
したがって、核心となる競争は明確だ。自律型の攻撃システムは速度と持続性を高める一方、重要インフラの防御はいまなお人間によるレビューと断片化された報告に依存している。
Google Newsの報道は支援から自律への転換を示す
重要な変化は、まったく新しいハッキング手法が登場したことではなく、運用上の独立性にある。
この事件に関する報道によると、イスラエルのサイバーセキュリティ企業Dreamの研究者は、犯罪インフラを監視する中でこの活動を発見した。作戦は4日間続いたとされる。
攻撃者らは、8つのオープンソースAIモデルからプラットフォームを組み立てたとされる。複数のエージェントが偵察、弱点の調査、侵入の試行、ある経路が失敗した際の戦術変更を実行できたという。
このアーキテクチャは、小規模なデジタル作戦チームに似ている。あるエージェントが公開されたサービスをマッピングする一方、別のエージェントが関連する脆弱性を探すことができる。ほかのエージェントは認証情報を試したり、結果を評価したりできる。
その後、調整レイヤーが次の行動を割り当てる。エージェント型のスキャフォールディング、すなわちモデルを取り囲むソフトウェアが、ステップ間のツール、メモリー、目標、フィードバックを提供する。
この違いは、モデル数よりもそのオーケストレーションが重要である理由を説明する。平凡なモデルでも、ソフトウェアが出力を検証し、失敗した作業を再試行すれば、より効果的になり得る。
研究者らによれば、このキャンペーンは少なくとも85の政府アカウントを侵害し、2,500件を超える職員記録を取得した。その後、原子力安全機関と7社のエネルギー企業を標的にしたと報じられている。
これらの数字は、Dreamの調査とその後の報道に基づくものだ。台湾当局は、研究者らが説明した技術的詳細のすべてを公に裏付けてはいない。
この検証上の空白は、引き続き認識されるべきだ。従来のサイバー調査でも帰属の特定は難しく、未知のAIプラットフォームは、誰が各行動を指揮したのかについてさらなる不確実性を生む。
人間がどの程度介入したかも不明だ。攻撃者が標的を選定し、機微な行動を承認し、システムが独力では処理できない失敗を修復していた可能性がある。
それでも、報告されたキャンペーンは、チャットボットにフィッシングメッセージの草案作成を依頼することとは異なる。エージェントは、長期にわたる作戦の中で目標を維持し、結果を解釈し、代替経路を選んだとされる。
Taiwan attackの詳細な説明では、偵察と侵入が一つの自動化システムの連結した要素として記述されている。
これがGoogle Newsの報道の背後にある緊張関係だ。ツールは既知のものかもしれないが、意思決定のループは直接的な人間の制御から離れ始めている。
重要インフラの防御側はマシン速度の持続性に対抗できない
自律型攻撃は、人間のペースで進むインシデントと予測可能なエスカレーション経路を前提に設計された組織のセキュリティプロセスに圧力をかける。
重要インフラには、電力、水道、輸送、通信、医療、その他の基本的な公共機能を支えるシステムが含まれる。多くの事業者は、最新のクラウドサービスと古い運用技術を組み合わせている。
運用技術は、ポンプ、タービン、スイッチ、産業機械といった物理プロセスを制御する。通常の業務用ソフトウェアより長期間にわたり運用されることが多い。
この長い耐用年数が、防御上の不均衡な環境を生み出す。セキュリティチームは、頻繁な更新に耐えられない機器を妨げることなく、新たなインターネット接続システムを保護しなければならない。
自律型の攻撃者は、この不均衡を利用できる。公開資産を継続的にスキャンし、システム間の発見を結び付け、疲れることなく手法を再試行できる。
防御側は別の制約に直面する。アナリストは、人々が依存するサービスを隔離する前に、本物の侵入と日常的なノイズを区別しなければならない。
調査のために企業アプリケーションを停止すれば混乱が生じる。電力網や水道網の一部を停止すれば、即座に公共への影響が出る可能性がある。
この非対称性が攻撃者に時間を与える。防御側が重大な対応一つに対する運用上の承認を集めている間に、攻撃者のソフトウェアは複数の実験を実行できる。
台湾の事例は、盗まれた職員データがプライバシーを超えて重要である理由も示している。従業員記録は、なりすまし、認証情報への攻撃、特権アクセスを持つ人物を狙ったアプローチに利用できる。
侵入は、直ちに産業制御システムに到達する必要はない。攻撃者は、IDシステム、管理ネットワーク、請負業者、サプライヤーから始めることができる。
それぞれの足場は、次の意思決定のためにさらに多くの情報を提供する。メモリーを持つエージェントは、発見した名前、システム間の関係、認証情報、失敗したアプローチを保持できる。
この持続性は、偵察の経済性を変える。従来、人間のオペレーターは結果を確認し、何がより深い注意に値するかを判断するために時間を費やしてきた。
自律型プラットフォームは、あらゆる弱いシグナルを調べることができる。複数のエージェントが同時に進めるため、有望な標的の間で選択する必要がない。
2月の国際報告書は、AIシステムが攻撃の速度、規模、洗練度を高め得ると警告した。また、モデルは依然として長い攻撃チェーンに苦戦しているとも指摘した。
報告されたキャンペーンは、攻撃者がオーケストレーションによってこうした制約を緩和できることを示唆する。長い一連の処理をより小さなタスクに分割し、出力を確認し、エラー後にエージェントを再指示できる。
したがって、重要インフラの事業者が当面の圧力の標的となる。圧力の源は、まったく未知の脆弱性の類型ではなく、発見と適応の加速にある。
求められる対応には、より短い検知サイクル、より強固なID管理、より厳格なセグメンテーション、侵害されたシステムを隔離するための事前に訓練された権限付与が含まれる。
これは長期的な変化だが、運用上の対応を待つことはできない。再利用可能な自律型フレームワークが広まれば、より多くの主体が新たな標的向けに適応できるようになる。
オープンモデルだけがリスクの源ではない
主な対立は、自律型の攻撃能力と人間中心の防御の間にあるのであって、オープンソースとクローズドソースの対立ではない。
報告された台湾のプラットフォームは、公開されているコンポーネントを使用していた。この詳細は、高度なサイバーセキュリティ能力を持つモデルへのアクセスを制限すべきだという声を強めるだろう。
オープンモデルは、攻撃者の開発コストを下げる可能性がある。その挙動はローカルで変更でき、悪用を検出してもプロバイダーはダウンロード済みのモデルを無効化できない。
しかし、モデルへのアクセスだけに注目すると、作戦の背後にあるメカニズムを見落とす。モデルが閲覧、コード実行、結果の保存、ライブネットワーク上での行動を行えるかどうかは、周辺ツールによって決まる。
Anthropicの最近の脅威マッピングは、エージェント型スキャフォールディングが、基本的なAI支援と自律型サイバー作戦をますます分けるようになると論じている。
この見方では、モデルは一つのコンポーネントにすぎない。攻撃者は、偵察、脆弱性調査、認証情報の取り扱い、エクスプロイト、検証を結び付けるシステムを構築することで優位性を得る。
商用モデルにもリスクはある。盗まれたアカウント、侵害されたアプリケーション、弱いガードレール、公開されたツールインターフェースは、攻撃者に能力の高いホスト型システムへのアクセスを与える可能性がある。
クローズドなアクセスには、監視と執行の選択肢がある。プロバイダーは利用制限を課し、不審なパターンを特定し、アカウントを停止し、安全策を更新できる。
これらの制御は価値があるが、完全ではない。攻撃者は作業を複数のアカウントに分割し、仲介者を通じてリクエストを送信し、悪意あるタスクを正当なセキュリティ活動に紛れ込ませることができる。
防御的な研究にも同じ曖昧さがある。脆弱なソフトウェアを調査するよう求められたモデルは、ベンダー、ペネトレーションテスター、あるいは悪用の準備を進める攻撃者を支援している可能性がある。
エージェントが通常の管理ツールを通じて動作する場合、デュアルユースの問題はより難しくなる。クラウドコンソールでは、自動化された変更が認可されたものかどうかを常に判断できるわけではない。
このため、モデル規制だけではインフラを保護できない。事業者は、あらゆるエージェントが到達できる範囲と、承認なしに完了できる行動を制御しなければならない。
同じ原則は防御側のエージェントにも当てはまる。セキュリティチームは、アラートのトリアージ、調査、脆弱性分析にAIを利用する機会を増やしている。
過剰な権限を持つ防御エージェントは、攻撃経路になり得る。プロンプトインジェクション、侵害されたデータ、盗まれた認証情報が、信頼されたシステムを有害な行動へと誘導する可能性がある。
したがって、エージェントには厳格に限定された権限を与えるべきだ。機微な操作には独立した確認を求め、認証情報は短期間で失効させ、特定のタスクに紐付けたままにする必要がある。
ネットワークセグメンテーションも重要性を増す。侵害された業務アカウントが、物理的な運用を制御するシステムへ容易に到達できる経路を提供すべきではない。
主たる競争は、能力とリスクの間にある。自律型エージェントは防御側に速度をもたらすが、同じアーキテクチャは攻撃者に持続性と到達範囲を与える。
オープンモデルだけを対象とする政策では、クラウドエージェント、侵害された企業ツール、ガバナンスの不十分な防御自動化が対象外のままになる。
自律型AI攻撃の主張が証明していないこと
この証拠は深刻な転換を示しているが、自律型システムが任意に選んだ標的を確実に侵害できることを立証するものではない。
公的な報道は、完全なフォレンジック記録を提供していない。読者は、すべてのコマンド、人間による承認、モデルの失敗、影響を受けたシステムを独立して検証することはできない。
「エンドツーエンド」という説明も、異なる自律性の水準を覆い隠し得る。システムが大半のステップを自動化していても、人間が標的を選び、認証情報を提供し、エクスプロイトを承認していた可能性がある。
それでも、それは意味のある進歩を示す。プラットフォームが作戦全体を独力で構想し、完了したことを意味するわけではない。
国際AI安全報告書は、いくつかの根強い弱点を指摘した。エージェントは運用状態を失い、無関係なコマンドを実行し、単純なエラーから復旧できない可能性がある。
適切に設計されたオーケストレーション層は、こうした問題を軽減できる。ただし、エージェントが未知の環境を理解したり、存在を露見させずに行動したりすることを保証するものではない。
サイバーセキュリティ企業VulnCheckは7月、同社が調査したAI支援による脆弱性発見のうち、武器化されていたものは2％未満だったと報告した。発見と、信頼性の高い悪用は依然として別の課題である。
重要インフラには、さらに多くの障害がある。ネットワークには、特殊な機器、一般的でないプロトコル、不完全な文書化、予測不能な挙動を示す物理プロセスが含まれる場合がある。
汎用モデルは脆弱なサーバーを認識できても、産業用設定を変更した場合の影響を誤解する可能性がある。その制約は攻撃を阻止することもあれば、より危険なものにすることもある。
帰属についても同様の慎重さが必要だ。研究者らはこの作戦を中国寄りのアクターと結び付けたと報じられているが、独立した結論を導くには公開証拠がなお不十分である。
インフラ、言語パターン、稼働時間、過去に用いられた手法は、帰属判断を支持しうる。一方で、熟練したオペレーターは誤解を招くシグナルを仕込むこともできる。
疑われる標的は既存の戦略的利益と一致するが、標的選定だけで攻撃者を特定することはできない。政府の確認があれば、この評価はより強固になる。
もう一つ、認識を歪める可能性のある要因がある。組織が新たな防御製品を緊急に必要としていると受け止めるほど、セキュリティベンダーは利益を得る。
このインセンティブが彼らの研究を無効にするわけではない。しかし、技術的透明性、外部レビュー、そして自律性の明確な定義が不可欠になる。
最も擁護可能な結論は、最も劇的な見出しよりも限定的だ。攻撃者は、これまで以上に運用ループの多くを自動化できるようになったとみられる。
このキャンペーンが再現可能なプラットフォームを示すかどうかは不確実である。特定環境向けに調整されたシステムは、ある環境では有効に機能しても、別の場所では十分に機能しない可能性がある。
The Registerの以前の評価は、従来の基準線を的確に捉えていた。AIエージェントは犯罪者にとって有用だったが、攻撃全体を通じては信頼性に欠けていた。
台湾での発見は、あらゆる制約を消し去ることなく、その基準線に異議を唱えるものだ。変化は「報告されていない」から「信頼できる形で疑われている」への移行であり、不可能から普遍的に信頼できる状態への移行ではない。
この区別は、報道と政策の双方を導くべきである。過大な表現はパニックを招き、軽視は防御側を昨日の運用速度への備えにとどめてしまう。
防御側には、監督を手放さない自律的コントロールが必要だ
重要インフラにはより高速な防御自動化が必要だが、重大な影響を伴う行動には、攻撃者が尊重しない境界がなお必要である。
人間のアナリストは、機械生成されたすべてのプローブを手作業で調査することはできない。攻撃側のエージェントが活動量を増幅させるなら、防御システムも同等の速度でシグナルをフィルタリングし、相関付ける必要がある。
自動化は、通常と異なるアイデンティティ行動、不審なツールの連続使用、急速なネットワークマッピング、無関係なシステムをまたぐ繰り返しのアクセス試行を特定できる。
その後、防御エージェントはアナリスト向けにコンテキストを組み立てられる。盗まれたアカウント、新しいデバイス、異常なクラウドセッション、機密記録へのアクセスを結び付けることができるかもしれない。
このワークフローは、エージェントに無制限の権限を与えずに時間を節約する。システムは封じ込めを提案し、あらかじめ定義されたポリシーが、自動で実行できる行動を決定する。
低リスクの対応は迅速に進められる。セッションに再認証を要求したり、一時トークンを失効させたり、不審なプロセスのネットワークアクセスを遮断したりできる。
高リスクの対応には追加の確認が必要だ。運用機器の切断や産業用制御の変更は、安全性やサービス可用性に影響を及ぼす可能性がある。
この階層型モデルは、手作業による防御と無制約の自律性という誤った二択を避ける。組織は、物理的な影響を伴う行動への承認を維持しつつ、可逆的な手順を自動化できる。
アイデンティティには特別な注意が必要だ。報じられた人事記録の窃取は、攻撃者が後のアクセス試行に向けた材料を収集できることを示している。
人間とソフトウェアのすべてのエージェントには、検証可能なアイデンティティが必要である。権限は、タスク、宛先、期間、想定される行動を反映すべきだ。
エージェントの活動には、永続的なログも必要となる。セキュリティチームは、どのモデルが行動したのか、どのツールを使ったのか、どのデータにアクセスしたのか、そしてなぜコントロールがその行動を許可したのかを把握しなければならない。
通常のアプリケーションログでは、その意思決定の連鎖を捉えられない可能性がある。エージェントは悪意ある連続操作の中で正当なコマンドを発行できるため、個々のイベントだけを見ると無害に見えてしまう。
業界団体は、報告上のギャップに対処し始めている。Open Secure AI Allianceは、自律システムに関わるインシデント向けの所見交換制度を提案している。
提案された枠組みは、不正アクセス、機密データの露出、オペレーターが不適切な行動を疑った後も続くプロービングを対象とする。
組織ごとにエージェントのインシデントを異なる形で記述しているため、共通の定義は重要だ。ある企業はモデルの障害と呼ぶ出来事を、別の企業は同じ行動を認証情報の悪用として記録するかもしれない。
一貫した報告は、防御側による反復パターンの特定に役立つ。また、疑われる自律型攻撃が依然としてまれな実演にとどまるのか、日常的な作戦になるのかも明らかにする。
この提案には限界もある。自主的な開示は、セーフハーバー保護を保証しないまま、法的、評判上、規制上のリスクを露出させる可能性がある。
重要インフラの運営者は、ネットワークアーキテクチャや防御上の弱点に関する機密情報の公開をためらう可能性がある。政府は、有用な運用情報を保護する報告チャネルを整備する必要がある。
より広範なガバナンス分析も、特定可能な人間のオペレーターを前提に設計された枠組みは、継続的に動作する自律システムへの対応に苦戦すると警告している。
この問題は国境を越える。モデル、クラウドサービス、標的、オペレーターは、同じキャンペーンの最中に異なる法域に所在する可能性がある。
防御側は、この法域上の対立をソフトウェアだけで解決することはできない。それでも、権限管理、セグメンテーション、テレメトリー、そして訓練された対応権限を通じて露出を減らすことはできる。
危険が日常化しているかを示す3つのシグナル
次の試金石は、独立した証拠が、報告された一つのキャンペーンを再現可能な自律侵入のパターンへと変えるかどうかである。
最初のシグナルは、台湾当局または独立したインシデント対応チームによる技術的確認だ。有用な証拠は、時系列、影響を受けたシステム、人間の介入を明らかにするだろう。
確認が得られれば、自律ソフトウェアが稼働中の政府インフラに対し、相互に連結した複数の攻撃段階を完了したという結論が強まる。
より限定的な発見であれば、主張の最も強い形は弱まる。例えば、調査者が、エージェントは偵察を担った一方で決定的な手順は人間が実行したと判断する可能性がある。
どちらの結果も議論を改善する。セキュリティ計画に必要なのは、あらゆる支援付き攻撃を完全自律型として扱う二分法ではなく、正確な自律性の水準である。
2つ目のシグナルは、無関係な脅威グループによる再現だ。防御側は、自動化された発見、悪用、永続化、適応を組み合わせるキャンペーンを注視すべきである。
繰り返し利用されるなら、台湾のプラットフォームが特殊な例外ではなかったことを示す。また、必要なオーケストレーションの知識が広がっていることも示唆する。
攻撃者に同じ8つのモデルは必要ない。信頼できるツール、メモリー、検証システムに接続された単一の高性能モデルからも、同様の行動が生まれうる。
再現が見られないからといって、リスクがなくなるわけではない。運用上の複雑さ、コスト、または検知が、広範な導入を依然として制限していることを示唆するだろう。
3つ目のシグナルは、プロバイダーと政府のコントロールにおける測定可能な変化だ。モデル開発者は、より強力なサイバー評価、アカウント監視、高リスク能力に対する制限を導入できる。
政府は、重要システムにアクセスするエージェントについて、インシデントの定義、開示チャネル、最低限のアイデンティティ管理を整備できる。
国際AI安全報告書の次回評価は、とりわけ重要になる。ベンチマークは、長い一連の操作、失敗からの回復、現実的な防御に対する行動を試験しなければならない。
単純な脆弱性チャレンジでは、長期にわたる侵入を表現できない。エージェントには、変化する認証情報、分割されたネットワーク、誤解を招くデータ、途切れたアクセスにまたがる評価が必要だ。
防御側は、提案されたインシデント交換制度が参加者を獲得し、利用可能な報告を生み出すかどうかも注視すべきである。詳細な所見を伴わない参加は、共同のセキュリティを向上させない。
企業の購入担当者にとって、当面の教訓は実務的だ。インフラに接続されるあらゆるエージェントは、限定的な認証情報、観測可能な行動、テスト済みの停止経路を備えるべきである。
開発者は、ツールへのアクセスがモデル出力を運用上のリスクに変えると想定すべきだ。セキュリティ境界はプロンプトだけでなく、エージェントシステム全体を囲む。
ナレッジワーカーにも役割がある。人事ファイル、社内メモ、コピーされた認証情報は、自動化された標的選定の入力になりうる。
不要なデータ露出を減らせば、その後の攻撃はより困難になる。明確な保存ポリシーと区画化されたアクセスは、侵害された一つのアカウントが明らかにできる情報を制限する。
研究者が未知のインシデントを明らかにする中で、Google Newsは劇的な主張を引き続き表示するだろう。読者は、技術的証拠、自律性の水準、独立した確認によって判断すべきである。
アクセス権を持つエージェントの見直しを、完璧な定義ができるまで待ってはならない。まず、すべての自律システム、それらが保有する認証情報、実行可能な行動を特定することから始めよう。
そして、より難しい問いを投げかけるべきだ。もし今夜、そのシステムが敵対的な目的を受け取ったなら、どのコントロールが数分以内に次の一手を止められるだろうか。
