DeepSeek搭載AIエージェント、460以上のシステムを標的に

研究者が460以上の標的への攻撃を試みたAI支援キャンペーンを明らかにしたことで、DeepSeekはGoogle Newsでも取り上げられた。この作戦で確認された被害は限定的だったが、そのワークフローは重要な一線を越えていた。AIエージェントが脆弱なシステムを探し、エクスプロイトを選び、見込みの薄い機会を切り捨て、ほとんど人間の指示を受けずに方針を転換していた。

Palo Alto NetworksのUnit 42は、この活動をknaitheおよびKnYuanという別名を使う中国語話者のオペレーターによるものと帰属した。研究者らは、この人物が中国・珠海を拠点としていたと評価している。彼らはこのアクターを、国家支援グループではなく日和見的なエクスプロイト運用者と説明した。

このキャンペーンが重要なのは、DeepSeekが単にハッキングに関する質問へ回答していたわけではないためだ。ターミナルアクセス、再利用可能なスキル、Telegramベースの制御を備えたオープンソースフレームワーク、Hermes Agentの内部で推論を担っていた。この組み合わせにより、言語モデルは攻撃システムの実行コンポーネントへと変わった。

最も懸念されたシナリオは、完全には現実化しなかった。Unit 42は、必要な設定が存在しないか認証によってアクセスが阻まれたため、Langflowおよびn8nシステムに対する自律的な試みが失敗したことを確認した。確認済みのデータ窃取は別個の手動エクスプロイトによるものであり、公開状態のノートブックエンドポイントではコマンド実行も確認された。

この区別は見出しのインパクトを抑える一方、教訓をより強めるものでもある。このエージェントは信頼性が低く、ノイズも多く、自身のオペレーターを露見させる可能性もあった。それでも、従来は継続的な手作業を必要とした偵察とエクスプロイト作業を実行できた。

ここで生じる対立は、DeepSeekと西側の特定モデルの競争ではない。許可不要のエージェント実行環境と、プロバイダーが管理するAIアクセスとの対立だ。この作戦は、モデルの安全策、フレームワークの権限、露出したインフラ、従来のパッチ適用が、今や同じ攻撃チェーンで交差していることを示している。

Google Newsの見出しが伝えていないこと

このキャンペーンは自律的な試行と従来型の手動攻撃を組み合わせたものであり、数百の組織を完全自動で侵害したわけではない。

最も明確な説明は、2026年7月30日に公開されたUnit 42の調査にある。研究者らは、knaitheおよびKnYuanに関連する運用環境を発見した。その内容には、モデル設定、エクスプロイトスクリプト、標的一覧、シェル履歴、エージェントセッションログが含まれていた。

Unit 42によると、このアクターは自律型と手動の両方の手法を使い、460以上の標的へのエクスプロイトを試みた。この総数を、460件の侵入成功と解釈すべきではない。研究者らは、3件のCitrix NetScaler標的からのデータ流出と、11件のMarimoノートブックエンドポイントでのコマンド実行を確認した。

5月7日のセッションから再構築された自律シーケンスの結果は、より限定的だった。オペレーターはTelegram経由でHermes Agentに初期タスクを与えた。研究者らによれば、記録されたシーケンス中のその後のオペレーター入力は復元できなかったという。

Hermesはまず、AIワークフロー構築プラットフォームであるLangflowを標的にした。DeepSeekは公開エクスプロイトコードを見つけ、FOFA検索エンジンを用いて露出した84インスタンスを列挙し、10スレッドのスキャナーを実行した。明らかに脆弱と見られる標的を1件特定した。

この試みは、脆弱性の悪用に露出したフロー識別子、または有効化された自動ログイン設定が必要だったため失敗した。標的にはどちらの条件もなかった。DeepSeekはその後、この製品を見込みの薄い対象と分類し、より大きな到達可能範囲を持つ別の対象を探した。

この方針転換こそが中心的な出来事だ。従来の自動化は、準備されたリストに対してあらかじめ決められたコマンドを実行する。HermesとDeepSeekの組み合わせは、失敗結果を解釈し、他の脆弱性を調査し、標的を比較した上で、異なる経路を選んだ。

このエージェントは10の製品ファミリーを調査し、GitHubで最新の概念実証コードを検索した。深刻度、導入数、利用可能なエクスプロイトコードの見かけ上の普及度を考慮した結果、n8nを選択した。

Unit 42は、FOFAが世界で647,017件のn8nインスタンスを返し、そのうち25,209件が中国にあると報告した。これらの数値は、脆弱な導入環境の検証済み件数ではなく、アクターの偵察環境から得られたものだ。露出したインスタンスが、必ずしも影響を受けていたり悪用可能だったりするわけではない。

DeepSeekは2つの脆弱性を連鎖させるエクスプロイトを分析し、脆弱と見られるバージョンを実行する3システムを特定した。しかし利用可能なエクスプロイトには、ファイルアップロードが有効な未認証フォームが必要だった。発見されたフォームは認証を要求した。

エージェントは残る50以上の標的のスキャンを続けたが、利用可能な公開フォームは見つからなかった。Unit 42は、この自律型n8nシーケンスによるエクスプロイト成功を確認していない。

この失敗した結果は重要だ。この作戦は、AIシステムがゼロデイ脆弱性を発明したり、強化された防御を回避したりしたことを示すものではない。公開情報を組み立て、既知の手法をマシン速度で適用するエージェントを示したものだ。

手動側はより大きな影響を与えた。このアクターはNetScalerのメモリ過剰読み取りの欠陥を悪用し、3つの標的からデータを取得した。Unit 42はまた、11件のMarimoノートブックエンドポイントでのコマンド実行、ならびにTomcatとWindows IKEサービスに関わる試みも確認した。

CVE-2026-3055として追跡されているNetScalerの脆弱性には、NISTから9.8のCVSSスコアが付与された。影響を受けるシステムがSAMLアイデンティティプロバイダーとして動作する場合に、入力検証が不十分となる問題だった。CISAは3月30日、これを既知の悪用済み脆弱性カタログに追加した。

Unit 42によると、このアクターは盗んだNetScalerメモリから認証Cookieを検索しており、セッションハイジャックへの関心を示していた。マレーシアのある政府組織には数日にわたって継続的な注意が向けられ、メモリパラメーターの調整や、後の匿名化プロキシ経由の接続も含まれていた。

これらの詳細は、AIエージェントが成功しなかった場面でオペレーターが判断を下していたことを示す。したがって、このキャンペーンはハイブリッド型だった。自動化が偵察と試行を拡張する一方、人間がより価値の高いエクスプロイトと永続化を担った。

DeepSeek AIエージェントの自動化が経済性を変える

エージェントの価値は成功率の高さではない。反復的な調査、絞り込み、標的変更を再利用可能なプロセスへ圧縮できる点にあった。

Hermes Agentが運用レイヤーを提供した。DeepSeekにターミナルアクセス、スキルシステム、Telegram制御、外部ツールへの接続を与えた。DeepSeekはコード生成、脆弱性評価、標的選択、次のステップに関する判断のための推論を担った。

アクターは3つの攻撃用スキルを追加した。1つはモデルのジェイルブレイクを支援し、別の1つはWebSocketエクスプロイトを扱い、3つ目は指示をFOFA検索に変換した。この環境は、資産発見と脆弱性スキャンの機能を公開するModel Context Protocolサーバーにも接続されていた。

Model Context Protocol、すなわちMCPは、AIシステムが外部データソースやツールを呼び出せるようにする標準だ。このキャンペーンでは、自然言語の指示をインターネット資産検索とスキャナー生成につなぐ役割を果たした。モデルは、何を探すかの判断から、それを見つけるために必要な検索の実行へ移れた。

このアーキテクチャは、認知と行動を分離する。言語モデルが結果を評価し、手順を提案する。エージェントフレームワークがコマンドを実行し、状態を保存し、観測結果を返す。スキルは、後続セッションで再利用できる手順を保持する。

この分離は、モデル単体がリスクのすべてではない理由を説明している。DeepSeekは実行環境なしにアドレスをスキャンしたり、エクスプロイトを実行したりできない。Hermesは生成された判断をオペレーティングシステム上の活動へ変換した。

このワークフローはリソースも管理していた。Unit 42によれば、DeepSeekはFOFAが報告した中国の25,209件のn8nインスタンスから約100アドレスを抽出した。その後、全体をテストする代わりに、約40の固有アドレスを調査した。

この挙動は、システムが標的カバレッジと計算・実行コストのバランスを取っていたことを示唆する。広く検索し、対象を絞り込み、バージョンをテストし、必要条件が満たされない場合は停止した。基礎となる判断が不完全だったとしても、これはアナリストのトリアージプロセスに似ている。

オペレーターは、1DayNewsという自動脆弱性インテリジェンスパイプラインも維持していた。Unit 42によれば、17の情報源からリモートコード実行に関する開示を収集し、DeepSeekを使って悪用可能性で検出結果を絞り込み、Telegram経由でアラートを配信していた。

このパイプラインは、キャンペーンが日和見的に見えた理由の説明にもなる。アクターは新しい脆弱性開示を取り込み、露出した製品を優先順位付けし、公開コードを取得して、特定の被害者や業界に固執せずテストを始められる。

このアプローチは防御側に圧力をかける。脆弱性開示が公開された時点で、パッチ適用までの時計はすでに動き始めるためだ。エージェントは、開示、標的発見、悪用の試行までに必要な労力を減らす。どこかに脆弱な設定を1つ見つけられるなら、エクスプロイトそのものを改善する必要はない。

Palo Alto Networksは以前、管理された条件下で同様の攻撃自動化をテストしていた。同社の2025年のエージェント型攻撃フレームワークは、初期侵害からデータ窃取までのランサムウェアシーケンスを25分でシミュレーションした。

同社はこの実験室での結果を、速度が100倍向上したものと説明した。また、侵害からデータ流出までの平均時間は2021年の9日から2024年には2日へ短縮されたとも報告している。調査した事例の5分の1では、データ流出が1時間以内に始まった。

これらの数値は、DeepSeekキャンペーンが同じ速度で動作したことを証明するものではない。自律的なトリアージがインシデント対応者を懸念させる理由を示している。週単位のパッチサイクルで測られる防御プロセスは、1セッション内に標的を再評価できる攻撃者に直面する。

現在のキャンペーンも、なお基本的な障害に直面した。認証がn8nのエクスプロイトチェーンを阻止した。Langflowの設定不足が最初の試みを止めた。スキャンされた多くのシステムは応答しなかった。

この結果は、より劇的ではない点を補強する。設定とアクセス制御は依然として重要だ。エージェントは検索、適応、再試行ができても、エクスプロイトに組み込まれたあらゆる前提条件を自動的に取り除けるわけではない。

それでも経済性は変わった。標的発見と一次テストが安価になれば、成功率が低くても有用であり得る。エージェントが却下される作業を継続的に実行できるなら、攻撃者はすべての試行を成功させる必要がなくなる。

許可不要のエージェントがプロバイダーの安全策に圧力をかける

主な競争は、制約のない実行環境と、プロバイダー境界でポリシーを適用するAIサービスの間にある。

このオペレーターは複数のモデルおよびコーディングシステムを評価していた。Unit 42は、Qwen、GLM、Kimi、MiniMax、Claude Code、Codex、DeepSeekに関する設定を発見した。それぞれの役割と利用可能な証拠は大きく異なる。

DeepSeekはHermes Agent内部の主要な推論エンジンとして動作していた。Qwen Codeが現れたのは復元された2つのセッションのみだった。Claude Codeの活動は3セッションにまたがる10件のエントリーで構成され、主にモデル確認、プロキシ検証、接続性テストだった。

研究者らは、Codexがエクスプロイト開発ディレクトリにアクセスしていたことを示す痕跡を見つけたが、その会話は復元できなかった。アクターがローカルの応答保存を無効化していたため、Unit 42はCodexがどのように使われたかを検証できなかった。

欠けているその証拠は重要である。ツール設定が存在するだけでは、そのツールがエクスプロイトを生成した、あるいは攻撃の成功に関与したことは証明されない。Unit 42がCodexとの接続を、確認済みの運用上の役割ではなく示唆として適切に説明したのはそのためだ。

攻撃者は、西側のツールを第三者のプロキシ経由で利用していた。DeepSeekとQwenは、それぞれのネイティブAPIに直接接続されていた。設定では、可能な場合にクライアント側の権限確認プロンプトも削除または軽減されていた。

クライアント側の権限設定は、コーディングエージェントが繰り返し承認を得ずにコマンドを実行し、ファイルを変更し、ネットワークへアクセスできるかどうかを制御する。それらはプロバイダー側のサーバーにおけるコンテンツおよび不正利用対策を取り除くものではない。

Unit 42によると、OpenAIは関連するシグナルを確認し、自社の安全対策がポリシー違反のリクエストを拒否したことを確認した。試行が続いたことで、Unit 42が脅威インテリジェンスを共有する前に、同社のシステムはこのキャンペーンに関連するとみられるアカウントを検知し、無効化した。

これは、プロバイダーの対策が攻撃者にとって利用可能な選択肢を変えたと報告される、まれな実地例である。この対策は、攻撃者がモデルやフレームワークを切り替えられたため、より広範なキャンペーンを止めるには至らなかった。それでも摩擦を増やし、1つのアカウントを排除した。

Hermesは異なる境界を提示した。Unit 42は、観測された設定ではこのフレームワークに組み込みの安全レイヤーが存在しなかったと説明している。また、モデルの拒否を回避することを目的としたオプションのスキルも含まれていた。

これは、オープンソースのエージェントが本質的に悪意あるものだという意味ではない。同じ端末アクセスと再利用可能なスキルは、正当な研究、システム管理、ソフトウェア開発も支えている。リスクが生じるのは、広範な実行権限が攻撃目的と結び付く場合だ。

重要なトレードオフは、制御と可搬性の間にある。ホスト型サービスはリクエストを検査し、繰り返される違反を検知し、アクセスを停止できる。自己管理型フレームワークはユーザーにより大きな自由を与える一方、執行の責任を運用者と周辺インフラへ移す。

攻撃者が制約の少ない経路を選ぶのは予測可能だ。Unit 42は、プロバイダー側の制御により、西側のシステムはこのキャンペーンにおいて効果が低くなった可能性が高いと評価した。その後、攻撃者はクライアント側の制約が最小限のフレームワークを通じてDeepSeekに依存した。

ただし、この作戦をすべてDeepSeekに帰することは、証拠を単純化しすぎることになる。攻撃者は目標を提示し、ツールを選定し、スキルを導入し、FOFAを接続し、端末アクセスを提供した。公開された脆弱性コードと公開状態のシステムが、その連鎖を完成させた。

DeepSeekの役割は、選定と適応を担ったという点で重要だった。しかし、同じ寛容な環境に置かれた別の有能なモデルでも、類似のタスクを実行できる可能性がある。重要なのはブランド名だけではなく、アーキテクチャの組み合わせだ。

これは難しい政策課題を提起する。モデルプロバイダーは直接のリクエストをフィルタリングできるが、オープンモデルや代替APIは中央集権的な制御の到達範囲を狭める。エージェントフレームワークは承認ゲートを追加できるものの、ユーザーはしばしばそれらを無効化できる。

したがって、セキュリティチームはベンダーの安全ポリシーを主たる防御策として扱うことはできない。これらのポリシーは、ある層での不正利用を妨げることはできる。しかし、公開されたアプライアンスにパッチを適用したり、ワークフローフォームで認証を必須にしたり、管理されていないエージェントが端末権限を得るのを防いだりすることはできない。

Google Newsの文脈では、DeepSeekが認識しやすい主題となる。より深い争点は、誰が実行を制御し、その制御をどこで強制できるかにある。モデルが意思決定を生成し、フレームワークが能力を付与し、インフラが試みられたエクスプロイトの成否を決める。

AI攻撃者も自らを露出させた

運用者の到達範囲を広げた同じ自律性が、深刻なオペレーショナルセキュリティ上の失敗を生み出し、研究者にキャンペーン内部をのぞく珍しい機会を与えた。

Hermes AgentはTelegramのリクエストを受け取り、ポート8888でPython HTTPサーバーを起動した。このサーバーは隔離されたステージングフォルダーではなく、攻撃者のホームディレクトリから起動されていた。

このミスにより、完全なワークスペースが露出した。Unit 42はAPIキー、設定ファイル、エクスプロイトスクリプト、標的リスト、コマンド履歴、エージェントのエクスプロイトログを調査できた。これらの成果物が公開された再構築の基礎となった。

この失敗は単なる皮肉な逆転劇ではない。自律的な実行は、人間が各コマンドを確認することなく行われる重要な意思決定の数を増やす。一見ありふれたファイル共有の手順でも、認証情報や運用履歴を露出させうる。

人間の攻撃者もミスをする。サーバーを誤設定し、インフラを再利用し、ログを残す。エージェントは、パス、権限、スコープ、あるいはコマンドの結果を誤解する可能性があるため、別のエラー源を追加する。

攻撃者は別の箇所ではオペレーショナルセキュリティを意識していた。エクスプロイト用ディレクトリは使用後に空にされていた。Codexの応答ストレージはローカルで無効化されていた。プロキシインフラは、一部ツールにおける直接的な帰属を減らしていた。

しかしエージェントは、スコープ設定の悪い1つのコマンドでその作業の一部を台無しにした。より慎重な手作業の運用者なら避けられたかもしれないフォレンジック証拠を生み出した。

この逆転は、研究者が自動化された行為と手作業の行為を分ける助けにもなった。復元されたHermesセッションは、失敗したLangflowの試行、自律的な脆弱性調査、そしてn8nへの転換を示していた。他のファイルには、そのセッション外でのエクスプロイト活動が記録されていた。

これらのログがなければ、観測者はAIモデルが標的を選んだかどうかを知らないまま、スキャン通信だけを目にしていたかもしれない。自律型ハッキングに関するマーケティング上の主張を検証することは困難だっただろう。露出した環境は、異例に直接的な証拠を提供した。

この証拠にも限界がある。Unit 42は、削除されたすべてのファイルやすべてのセッションを保有していたわけではない。攻撃者が削除したファイルに含まれていた、未知数のホストに対する一括エクスプロイトの兆候を確認した。

研究者は実際のCodex会話も確認できなかった。自律的なエクスプロイトが試みられたすべての標的に対して実行されたとは主張していない。確認済みの影響は、複数の手法と異なる脆弱性を組み合わせたものだった。

こうした留保により、この話が止められないAIハッカーについての主張へと変わることは避けられる。記録されたエージェントは有用な調査と適応を実行したが、意図された自律的な標的への侵害には失敗した。その最大の成功は、運用者による探索を加速したことだった可能性がある。

このキャンペーンには、既知の脆弱性と公開された概念実証コードも関与していた。報告書には、DeepSeekが未知の脆弱性を発見したという証拠はない。ゼロから新しいエクスプロイトを独自に開発したという証拠もない。

システムの判断は時に表層的だった。概念実証コードに付いたGitHubスターを、エクスプロイト価値の1つの指標として扱っていた。人気は注目度を反映しうるが、信頼性や広範な露出を確立するものではない。

製品数もインターネット検索プラットフォームから得られていた。検索結果は古い、重複している、あるいは不完全である可能性がある。サービスバナーは、正確なバージョン、到達可能な機能、または悪用可能な設定を確認するものではない。

それでも、このエージェントは証拠が仮定と矛盾した際に方針を修正した。Langflowに必要な前提条件が欠けていることを認識した。n8nエクスプロイトの要件を読み直し、認証によって利用可能なフォームがブロックされることに気付いた。

この挙動だけでも、防御側にとって懸念材料となる。エージェントは手作業の負荷を減らすために完璧な推論を必要としなかった。明らかに不適切な標的を除外し、より良い機会に運用者の注意を向け続ければよかった。

したがってこのキャンペーンは、2つの真実を同時に示している。現在の攻撃用エージェントは依然としてエラーが多く、運用上も不器用だ。そのミスは、継続的な自動偵察によって得られる効率向上を打ち消すものではない。

防御側はこの弱点を利用できる。自律的なキャンペーンは、反復的なクエリ、高速なプローブ、ツールのダウンロード、実行の急増を生む。アイデンティティ、エンドポイント、ネットワーク、クラウドのテレメトリー全体でこうした振る舞いを相関付ければ、ワークフローを露出できる。

組織は自らのAIエージェントも隔離すべきだ。広範な端末アクセスが、認証情報ディレクトリや無制限のネットワークサービスへのアクセスを意味すべきではない。ファイルを露出させ、リスナーを開き、セキュリティ制御を変更するコマンドには、追加の承認が必要だ。

エージェントログはセキュリティ証拠となる。コーディングエージェントや運用エージェントを利用するチームは、ツール呼び出し、権限変更、モデル選択、ネットワーク接続先を保持すべきである。個人用のAIナレッジベースは正当な業務を支援できるが、運用上の機密にはアクセス境界と保持管理が必要となる。

攻撃者の露出は、エージェントセキュリティが有害なプロンプトをブロックするだけの問題ではない理由を示している。正当な指示に誤って従ったエージェントが引き起こす被害を抑えることも含まれる。

このDeepSeekレポート後に防御側が注視すべきこと

次の段階は、自律的な侵害の成功、再現可能な攻撃インフラ、そしてエージェントの振る舞いを認識する防御制御によって測られる。

最初のシグナルは、人間が引き継ぐことなくエージェントが侵害を完了したという証拠である。Unit 42は、自律的な列挙、エクスプロイトの取得、標的選定、失敗したエクスプロイトを記録した。同社の報告書で確認された成功した活動は、手作業によるキャンペーンからのものだった。

この境界は重要である。将来の調査で、自律的な初期アクセス、権限昇格、永続化、データ窃取が追跡可能な1つの連続した流れとして記録されれば、リスク評価は変わる。それは、エージェントが標的の選別を超え、信頼性のある運用へ移行できることを示すだろう。

読者は、セッションログ、コマンド履歴、ネットワークテレメトリー、その他の直接的な証拠を探すべきだ。ベンダーによる説明だけでは自律性を確立できない。単にAI生成コードを使用するキャンペーンと、失敗後に再計画して次の選択を実行するキャンペーンは異なる。

2つ目のシグナルは、独立した攻撃者間での反復だ。この運用者は、カスタムスキル、Telegram制御、FOFA統合、プロキシ、脆弱性アラートパイプラインを通じて再利用可能なインフラを構築した。この投資は、プロセスを改善する意図を示唆している。

1つのキャンペーンだけでは、広範な移行を証明できない。無関係な複数の攻撃者が類似のエージェントアーキテクチャを使用すれば、この手法が1人の運用者の実験ではなく、標準的な手法になりつつあることを示すだろう。

再現性は、共有スキル、パッケージ化されたMCPサーバー、改変されたエージェントフレームワーク、エクスプロイト選定ワークフローを通じて現れる可能性が高い。防御研究者は、すべてのレッドチームプロジェクトが悪意あるものだと決めつけずに、公開リポジトリを監視すべきである。

3つ目のシグナルは、プロバイダーと企業がツールにより近い位置へ執行を移すかどうかだ。モデルの拒否は今回摩擦を生んだが、運用者がシステムを切り替えることを止められなかった。攻撃者が承認プロンプトを無効化したため、それも持続的な境界としては機能しなかった。

より意味のある制御は、要求されたアクション、標的に対する認可、プロセスの文脈、ネットワーク接続先を評価するものだ。公開ドキュメントを求めるエージェントと、無関係なインターネット上のホストに対してスキャナーを起動するエージェントは異なる。

企業は、配備済みのエージェントと、それらが利用可能な認証情報を棚卸しすべきだ。シェルアクセスを持つ管理されていないエージェントは、その基盤モデルが設計どおりに振る舞っていても、新たな露出を生み出す可能性がある。

インターネットに公開されたシステムは、依然として当面の優先事項である。認証は自律的なn8nの試みを阻止し、不足していた設定要件はLangflowのエクスプロイトを止めた。これらは型破りなワークフローに対する従来型の防御上の勝利である。

CVE-2026-3055に対するCISAの扱いも、パッチ適用速度が重要である理由を示している。同機関は3月23日の公開から7日後にこの欠陥を既知の悪用脆弱性カタログへ追加し、連邦機関に対して4月2日を修正期限に設定した。

組織は、外部から到達可能な管理サービスを削減し、パッチ適用済みのバージョンを検証し、繰り返されるバージョン探索を監視すべきです。また、実験目的で急ぎ導入された後、そのままオンラインに残されているワークフロープラットフォームも見直す必要があります。

セキュリティチームは、攻撃トラフィックの形態が変化すると見込むべきです。エージェントは同じペイロードを繰り返すのではなく、停止して調査し、別のエクスプロイトを携えて戻ることができます。単一の指標にひも付いた検知ルールでは、こうしたより広い一連の流れを見逃すおそれがあります。

探索活動とその後の悪用を相関分析することで、より適切に状況を把握できます。製品の列挙が急増した後に、バージョンチェック、公開エクスプロイトのダウンロード、標的を絞ったリクエストが続く場合、個々の行為が通常に見えても、エージェント主導の活動を示している可能性があります。

Google Newsの報道サイクルでは「自律型サイバー攻撃」という表現が好まれるでしょう。しかし防御側には、より限定的な問いが必要です。どの手順が自律的だったのか。どの行為が成功したのか。エージェントにはどの権限が与えられていたのか。最終的にそれを止めたコントロールは何だったのか。

こうした問いは、緊急性を保ちながら過剰反応を防ぎます。このキャンペーンは、無害な自動化でも、完全に独立したデジタル攻撃者でもありませんでした。自律的なコンポーネントは単純な障壁によって阻止され、その後に運用者自身を露呈させた、実用的な攻撃システムだったのです。

これは完成済みの変革ではなく、早期警告です。今後1〜3か月で、他の研究者が類似システムを発見するか、フレームワークがツール権限を厳格化するか、攻撃者が運用上の規律を改善するかが明らかになるでしょう。

セキュリティ責任者にとって取るべき行動は明確です。脆弱性の開示から修正までの時間を短縮し、インターネットに公開されているすべてのサービスを把握し、エージェントの実行を特権的な自動化として扱うことです。開発者は、ネットワークスキャン、認証情報へのアクセス、公開リスナーの設定に承認プロセスを設けるべきです。

Google Newsの見出しの背後にある検証済みのセキュリティ研究を追い続けつつ、試行された攻撃と確認済みの侵害を区別してください。重要な指標は、攻撃者がAIモデルを参照したかどうかではありません。エージェントが被害者の環境を変化させる行為を独立して選択し、実行し、完了したかどうかです。