Google AIサイバー脅威レポート、攻撃者が能力格差を縮めつつあると警告

Googleは、通常なら国家レベルの作戦に伴うリソースを持たない攻撃者が、わずか6時間で大規模な認証情報収集キャンペーンを構築・実行した事例を記録した。

Google AIサイバー脅威レポートは、単発的なチャットボット支援から、自律的なマルチエージェント・ワークフローへの移行を描いている。これらのシステムは、スキャンの管理、障害のトラブルシューティング、インフラの切り替え、認証情報の収集を、人間の関与を限定しながら実行できる。

重要なのは、AIがまったく新しい攻撃手法を発明するかどうかではない。犯罪グループは今や、かつては大規模なチーム、専門オペレーター、多額のインフラを必要とした速度と規模で、既知の手法を連携させられる。

Google Threat Intelligence Group（GTIG）は、9月8日のレポートをMandiantの調査、脅威追跡、Googleプラットフォーム全体で観測された活動に基づいてまとめた。その調査結果は、金銭目的の犯罪者が、中国、イラン、ロシア、北朝鮮とつながる国家支援型グループと並び、サイバー作戦の全工程でAIを活用していることを示している。

競争はもはや単純な攻撃者AI対防御者AIではない。キュー、引き継ぎ、定期的なレビューに依存し続ける人間の対応プロセスに対する、自動化された攻撃である。

Google AIサイバー脅威レポートが記録した6時間の攻撃

最も明確な変化は運用面にある。AIエージェントは助言的な役割から、実行ループへと移行している。

2026年第2四半期、Mandiantは、ある組織のクラウドインフラを侵害したとみられる、金銭目的の攻撃者を調査した。この攻撃者は、認証情報収集作戦の一部ずつを担う複数のエージェントを含む自律型フレームワークを展開していた。

Googleによると、この攻撃者はAIコーディング・チャットボットに1つのプロンプトと一連のエージェント指示を与えた。これらの指示は再利用可能な運用プレイブックとして機能した。

GTIGによると、このフレームワークは6時間以内に大規模な認証情報収集キャンペーンを計画、構築、実行し、数千件の第三者認証情報を侵害した。

エージェントは単にスクリプトを生成しただけではない。脆弱性スキャンのパイプラインを管理し、エラーを診断し、オペレーターから継続的な指示を受けずにInternet Protocolのローテーションも処理した。

この自動化により、人間が次の操作を承認または修復するたびに発生する待ち時間、すなわちヒューマン・イン・ザ・ループの遅延が短縮された。また、攻撃者が広範な標的群に対する活動を維持する助けにもなった。

侵害されたクラウド環境は、さらに別の利点ももたらした。攻撃トラフィックは被害組織のインフラに関連する正規のIPアドレスを経由でき、単純なレピュテーションベースの検知を難しくする。

GTIGは別途、Reconと呼ばれる自動化された偵察・認証情報管理フレームワークを稼働させていた、公開状態のコマンド・アンド・コントロール・サーバーを発見した。このフレームワークには、エージェント型運用のために設計された指示ファイルとナレッジファイルが含まれていた。

ディレクトリには、AGENTS.md、KNOWLEDGE.md、agentic_vuln_research.mdといったファイルが含まれていた。また、ツール、メモリ、自動化ワークフロー用のモジュラー型ディレクトリも存在した。

GTIGが公開状態のサーバーを検知した後、このディレクトリは本番用ダッシュボードになったと報じられている。このダッシュボードは、23,800件を超える収集済みシークレットをリアルタイムで整理、検証、管理できた。

これらのシークレットには、クラウドプラットフォームおよびAIサービスの認証情報が含まれていた。したがってこの事例は、組織がしばしば別々に扱う3つのリスク、すなわち認証情報窃取、クラウド侵害、無許可のAIアクセスを結び付けた。

Googleはこの作戦を、受動的なエンドポイント型インフォスティーラーから、攻撃的なエージェント型収集への移行と位置付けた。エージェントは脆弱性を調査し、サーバーインフラをスキャンし、最小限の介入で標的を絞った侵害を試みた。

これがGoogle AIサイバー脅威レポートの中核的な警告である。限られたリソースしか持たないオペレーターでも、一度指示をコード化すれば、ソフトウェアに数千の機会にわたり反復実行させられる。

6時間というタイムラインは、すべての攻撃者が突然、高度なスパイ活動を実行できるようになることを意味しない。これは、かつて人員に制約されていたオーケストレーション能力が、ますますレンタル、窃取、自動化できるようになっていることを示している。

AI自動化が防御側の時計を変える

セキュリティチームは、まったく新しい種類のエクスプロイトに直面する前に、時間の問題に直面している。

従来のインシデント対応は、偵察、侵害、認証情報の利用、横展開の間に、防御側が一定の時間を確保できることを前提としている。監視システムがイベントを検知し、アナリストがそれを検証し、別々のチームが封じ込めを調整する。

Agentic AIはこうした段階を圧縮する。アラートが未確認のままであっても、フレームワークはスキャン、調整、再試行を行い、次の標的へ移動できる。

GTIGのチーフアナリストであるJohn Hultquist氏はIT Proに対し、組織は脅威アクターがすでに何らかの形でAIを使っていると想定すべきだと語った。同氏は、犯罪者が防御側の対応速度を上回る攻撃を好むだろうと警告した。

最も大きな圧力がかかるのは、迅速な封じ込めを可能にせず、アラートだけを生み出すセキュリティコントロールを持つ組織だ。アナリストが、窃取された認証情報が有効な攻撃経路となる前に調査できなければ、アラート件数の増加はほとんど防御にならない。

この問題はセキュリティオペレーションセンターにとどまらない。アイデンティティチーム、クラウド管理者、開発者、オープンソースのメンテナーはいずれも、自動化キャンペーンが到達できるリソースを管理している。

認証情報のローテーションは分かりやすい例だ。組織は数時間以内に漏えいしたシークレットを発見できても、失効させるまでに複数の承認を必要とすることがある。攻撃者のエージェントなら、そのシークレットを他所で試すのに必要なのは数秒だけだ。

クラウドインフラはこの不均衡をさらに増幅する。窃取された認証情報は、処理能力、信頼されたネットワーク上の位置、追加サービスへのアクセスを提供し得る。

GTIGはこの活動の一形態をLLMjackingと呼んでいる。攻撃者はAIプラットフォームの認証情報を盗む、またはクラウド環境を乗っ取り、無許可のモデルワークロードを実行する。

この手法により、攻撃者はインフラの直接コストを回避できる。また、計算処理が正規組織のアカウント内で行われるため、その活動を見えにくくすることもある。

2026年4月、Mandiantは、窃取したAIインフラへのアクセスを用いて高性能グラフィックス処理リソースをプロビジョニングする攻撃者を観測した。被害組織がその結果生じたワークロードと費用を負担した。

同じパターンは、UNC6508として追跡される中国とつながる国家支援型キャンペーンでも見られた。Googleによると、このグループは侵害したクラウド環境内にローカルのオープンウェイトモデルを展開した。

モデルをローカルで実行することで、このグループは商用AIサービスによる監視を回避しやすくなった。また、計算負荷を被害者側に転嫁した。

これらの事例は、セキュリティリーダーに保護対象領域の再定義を迫っている。モデル、プロンプト、エージェント指示、API認証情報、クラウドの割り当て量、開発ツールは、今や従来のアプリケーションやサーバーと並んで保護対象となっている。

Black Duckのサイバーセキュリティ・ガバナンス責任者であるRonald Lewis氏は、IT Proに対し、これらのリスクは多くの組織が測定・統制できる速度を上回って進化していると語った。同氏は、セキュリティチームは同じ技術を使う攻撃者に対峙しながら、AIシステムを保護しなければならないと主張した。

これにより、主要な競争構図が生まれる。人間の速度による意思決定を中心に組織された対応システムに対する、機械の速度による攻撃である。

リソースの少ない攻撃者も国家レベルの規模を借りられる

AIは、インテリジェンスへのアクセス、資金、戦略的忍耐力の差を消し去らなくても、運用能力の格差を縮める。

国家支援型グループは伝統的に、ソフトウェアだけでは再現できない優位性を維持している。機密インテリジェンス、長期的な資金、独自インフラ、外交的な後ろ盾、特定地域に関する専門知識を持つチームを活用できる。

しかし、高度な作戦に見られる多くの特徴は、反復可能な実行に由来する。これには、継続的な偵察、ローカライズされたフィッシング、コード改変、インフラのローテーション、迅速なトラブルシューティングが含まれる。

AIはこれらのタスクをそれぞれ自動化または加速できる。これにより、小規模なグループも、以前は大規模組織に結び付けられていた運用上の到達範囲の一部を得られる。

6時間の認証情報キャンペーンは、この仕組みを示している。攻撃者に必要だったのは、前例のない攻撃概念を考案するエージェントではなかった。

むしろ、このフレームワークは各段階で人間のオペレーターを待つことなく、既知のタスクを連携させた。その優位性は、持続性、並列活動、日常的なエラーからの迅速な復旧にあった。

このモデルは、防御側が高度さをどう解釈すべきかを変える。大量の攻撃、高度に作り込まれた誘導文、急速なコード変更があっても、その背後に大規模なチームがいることの証明にはもはやならない。

小規模なグループでも、複数のエージェントにまたがって指示を再利用できる。また、偵察、コーディング、翻訳、データ分析に異なるモデルを振り向けることもできる。

国家支援型グループも同じアプローチを採用している。GTIGは、中国のスパイ活動を行う攻撃者が、自動化された侵害および侵害後活動のパイプラインを実験していることを観測した。

この攻撃者は、異なる言語モデル間で作業を振り分けられるツール、CC Switchを使用した。Googleによると、エクスプロイトスクリプト、フィッシングコンテンツ、デバッグ支援について、Claude、Gemini、Codexに問い合わせていた。

このワークフローは、Burp Suiteを使った手動の探索と、オープンソースのペネトレーションテストフレームワークであるPhalanxによる自動化活動を組み合わせていた。アクセスを得た後、オペレーターはコマンド・アンド・コントロールと認証情報収集のため、追加ツールを展開できた。

Googleはまた、中国とつながる国家支援型グループBASIN CASTLEが、連続する攻撃フェーズ全体で生成AIを活用していると説明した。その活動には、標的プロファイリング、ローカライズされた誘導文の作成、マルウェアの難読化、侵害後のトラブルシューティングが含まれていた。

GTIGによると、APT42としても知られるCALANQUE IONは、偵察、メールアドレスの探索、翻訳、ソーシャルエンジニアリングにAIを使用した。イランとつながるこの攻撃者は、インフラ開発とソフトウェアのリバースエンジニアリングについても調査していた。

別の中国系グループであるRAVINE CASTLEは、インテリジェンス収集、エクスプロイト調査、影響工作にGeminiを使用した。Googleは、このグループが漏えい情報を匿名化し、メディアチャネルを通じて配布する手法を研究していたことを観測した。

ロシアとつながるSANDWORM RELICは、Geminiを使用してパスワードスプレーのスクリプトを改良し、ホストのプロファイリングを自動化した。また、コマンド・アンド・コントロールのインフラを隠すために設計されたプロキシルーティングも検討していた。

北朝鮮のクラスターは、標的プロファイリング、偽造された雇用関連資料、技術的な誘導文、悪意あるコードの開発にモデルを使用した。あるクラスターは、乗っ取った身元情報を通じて多数のモデルアカウントを登録したと報じられている。

これらの例は、AIによるサイバー脅威の自動化が、非常に異なる動機を持つ攻撃者へ広がっていることを示している。スパイ活動グループはインテリジェンスを求める一方、犯罪グループは恐喝、認証情報の販売、暗号資産の窃取を追求する。

この技術は、こうした攻撃者を同一の存在にするものではない。共通の運用自動化レイヤーへのアクセスを与えるものだ。

この違いは重要である。国家レベルの到達範囲とは、規模と実行速度を指すのであって、国家のインテリジェンス能力が一般的な犯罪者へ完全に移転することを意味するものではない。

ソフトウェアサプライチェーンはエージェント攻撃の対象領域になりつつある

攻撃者は、AIコーディングシステムが利用する指示や信頼シグナルを、これらのシステムが生成するソフトウェアそのものと同様に標的にしている。

GTIGは、この活動の大部分をTeamPCPとしても知られるUNC6780に関連付けた。金銭目的のこのグループは、2026年3月以降、PyPI、npm、Docker Hubを標的としている。

これらのサービスは、現代的なソフトウェアプロジェクト全体で使われるパッケージを配布している。侵害されたパッケージは、通常のインストールや自動ビルドを通じて複数の組織に入り込む可能性がある。

報道によれば、TeamPCPは正規の開発者アカウントを侵害し、Model Context Protocolサーバーの悪意あるフォークを公開した。MCPは、AIアプリケーションを外部ツールやデータに接続するための標準規格である。

このグループは、公式の組織リポジトリにも悪意あるコードを注入した。これにより、汚染されたリソースは信頼されたプロジェクト資産のように見えた。

DUSTMAKERと呼ばれる悪意あるコンポーネントの一つは、継続的インテグレーション環境でIDトークンを検索した。こうしたトークンは、信頼された開発者ワークフローを通じたパッケージ公開を認可できる可能性がある。

Googleによると、侵害されたパッケージには有効なSLSA Build Level 3の証明書が付与されている可能性がある。SLSAは、ソフトウェアビルドの完全性を記録し保護するためのフレームワークである。

有効な証明書は、パッケージが承認済みのビルドプロセスに従ったと自動システムに信じ込ませることができる。しかし、盗まれた公開IDを信頼できるものに変えることはできない。

ここで、AIコーディングシステムは固有のリスクを生み出す。エージェントは、依存関係を推奨またはインストールする前に、パッケージ名、メタデータ、リポジトリの文脈、機械可読な信頼シグナルを評価することが多い。

攻撃者はこうしたシグナルを操作できる。メタデータを汚染し、プロジェクトファイル内に指示を隠し、あるいは開発タスクを完了しようとするエージェントの性質を悪用できる。

DUSTMAKERは、コーディングツールや開発環境が使用する隠しディレクトリに悪意あるコンテンツを配置した。例としては、.claude、.vscode、.cursorの各ディレクトリが含まれる。

これらの場所にあるファイルは、通常のワークスペース活動に紛れ込む可能性がある。また、プロジェクト設定を自動解析するツールにも影響を与え得る。

Googleは、通常の開発者操作中にコマンドを実行させるよう設計された悪意ある設定を発見した。そのため、開発者は侵害されたプロジェクトを開いたり作業したりするだけで、マルウェアを起動する可能性がある。

このマルウェアは、もっともらしいAI関連の名前を持つパイプラインタスクも作成した。一例では、「Copilot Setup」というラベルを使いながら、追加の認証情報とアクセスキーを検索していた。

実行後、このマルウェアはワークフローログを削除できる可能性がある。これにより、開発者がリポジトリのインターフェースを通じて不審な活動に気付く可能性は低くなる。

別の手法は、AIベースのセキュリティスキャナーを標的とした。攻撃者は、悪意あるJavaScriptの上にあるコメントへ、極端に禁止された要求を埋め込んだ。

狙いは、実際のマルウェアに到達する前に、安全制御が分析を拒否するよう仕向けることだったとみられる。これは、隠されたコンテンツが信頼されていない素材を検査するAIシステムを操作する、間接的なプロンプトインジェクションである。

この戦略は、自動化された開発に内在する衝突を浮き彫りにする。チームはコーディングエージェントに幅広いプロジェクト文脈を読ませたいが、ファイルが増えるたびに指示経路となる可能性が生じる。

従来型のスキャナーは一般に、コメントを実行されないテキストとして扱う。AIスキャナーは、同じコメントを運用上の指示やポリシー上センシティブなコンテンツとして扱う可能性がある。

したがって、サプライチェーンに関する調査結果は、悪意あるパッケージの検出を超えた問題を示している。組織は、エージェントが依存関係をどう選び、ワークスペースファイルをどう解釈し、コマンドをどう承認するかを検討しなければならない。

開発者は、自分に代わって実行された操作も可視化する必要がある。パッケージを黙ってインストールしたりセットアップスクリプトを実行したりするエージェントは、推奨の誤りを即時の侵害へと変え得る。

ここでは、ナレッジの来歴が重要となる。チームは、信頼できる運用指示と、リポジトリ、チケット、ドキュメント、外部ページから収集されたテキストを区別する必要がある。

アクセスルールとソースの文脈を可視化したままなら、検索可能な技術ナレッジベースはこの区別を支援できる。ただし、パッケージ検証やランタイム隔離に取って代わるものではない。

より広い教訓は、AIエージェントが入力の弱点を引き継ぐということだ。また、一部の誤解を招く入力を行動に変換するため、誤った信頼に伴うコストを高める。

Googleの証拠は深刻だが、能力格差が消えたわけではない

この報告書は実際の加速という主張を裏付けているが、すべての小規模な攻撃者が今や完全な国家レベルの能力を持つことを証明するものではない。

GTIGは、インシデント対応、脅威追跡、クラウドインフラ、Geminiの不正利用監視を通じて、非常に広範な可視性を持つ。そのため、同組織のケーススタディには価値がある。

ただし、この報告書が提示するのは、世界全体の攻撃者行動を完全に測定したものではなく、選定された観測済みの作戦である。自律型エージェントを利用する攻撃の割合を示す基準値も提供していない。

この6時間のキャンペーンも、攻撃者がクラウドインフラを侵害した後に始まった。エージェントが後続段階を加速させる場合でも、初期アクセスは依然として重要な障壁である。

同様に、「数千件の認証情報」はキャンペーンの収集規模を表すものであり、侵害に成功したアカウント数ではない。一部のシークレットは、期限切れ、制限付き、重複、その他の理由で利用不能だった可能性がある。

したがって組織は、AI生成スクリプトをすべて高度持続的脅威として扱うべきではない。帰属判断と能力評価には、依然としてインフラ、被害者像、マルウェア、運用パターン、人間によるインテリジェンスが必要である。

Google自身も制約を報告している。第2四半期に観測された情報工作では、AIは生産性を向上させたが、質的に新しい能力を生み出してはいなかった。

攻撃者はモデルをコンテンツ生成、合成人格、翻訳、ナラティブの洗練に利用した。GTIGは、公開時点で実際の影響工作に投入された実験的な対話型エージェントを観測していなかった。

この結果は、警戒をあおる解釈を複雑にする。AIは、測定可能なフィードバックを伴う、構造化され反復可能な作業を自動化する場合に最も強みを発揮するように見える。

サイバー作戦はまさにその条件を備えている。スキャナーは、ホストが応答するか、認証情報が機能するか、コマンドが失敗したかを判定できる。

長期的なスパイ活動には、さらに多くが求められる。作戦担当者は組織間の関係を理解し、戦略的に有用な情報を選び、露見を避け、曖昧な結果を解釈しなければならない。

AIは攻撃者に運用上のリスクももたらす。モデルはコードをハルシネーションしたり、インフラを露出させたり、プラットフォーム監視を作動させたり、識別可能なパターンを生み出したりする可能性がある。

商用プロバイダーはアカウントを無効化し、モデルの安全策を改善できる。Googleは、不正利用を確認した後、関連資産を妨害し、Geminiの分類器と拒否動作を更新したとしている。

しかし、プロバイダーによる執行には限界がある。攻撃者は不正アカウントを入れ替え、正規の認証情報を盗み、ローカルホストされたモデルへ切り替えることができる。

Anthropicは監視作戦において、類似の移行パターンを確認している。同社の脅威研究者は、商用の安全策による摩擦が大きくなりすぎたため、一部の攻撃者がオープンモデルへ移行したと述べた。

監視に関する調査結果も、Googleのより広範な観察を補強している。政府機関は、最新のフロンティアシステムを使わなくても、人員需要を抑え分析量を増やすためにAIを利用していた。

これは安全制御を無意味にするものではない。プラットフォーム監視は、インテリジェンスの機会を生み出し、規律の低い攻撃者を妨害する。

ただし、アカウント停止が最終的な防御層になり得ないことは意味する。攻撃者がデータ、指示、代替コンピューティングを保持していれば、基盤となるワークフローは存続できる。

Googleはこの議論で二重の役割を持つ。同社は広く利用可能なモデルを開発する一方、クラウドセキュリティ、脅威インテリジェンス、AI防御製品を販売している。

この立場はGoogleに有用なテレメトリーを与えるが、読者は観測されたインシデントと製品上の主張を区別すべきである。証拠は加速を示しているが、自動化された防御が自動化された攻撃を一貫して無力化することまでは立証していない。

同じ注意はモデル抽出にも当てはまる。Googleは、独自機能を標的にした1億件を超えるプロンプトの協調キャンペーンを報告した。

同社は、リアルタイムの制御を導入し、無許可の学生モデルの有用性を低下させたとしている。こうした防御の持続的な有効性に関する独立した証拠は、依然として限定的である。

バランスの取れた解釈は、二つの極端を避ける。AIは単に攻撃者のメール作成を改善するだけのものでもなければ、すべての犯罪者を情報機関へ変えるものでもない。

AIは攻撃ライフサイクルの選定された部分から労働と調整の制約を取り除いている。その変化だけでも、より遅い敵対者を前提に設計された防御を圧倒し得る。

防御側が追いつけるかを示す三つのシグナル

次の局面は、封じ込め速度、エージェントガバナンス、攻撃者管理下のモデルへの移行によって決まる。

第一のシグナルは、認証情報の露出から自動封じ込めまでの時間である。組織は、シークレットを失効させ、ワークロードを隔離し、不審なセッションをブロックするまでの速さを測定すべきである。

この指標はアラート量よりも重要だ。高信頼度の検出が数分以内に封じ込めを起動するなら、6時間の攻撃の有効性は低下する。

対応が複数のチームによるチケットのやり取りに依存する場合、その攻撃はより危険になる。利用可能な認証情報を伴うインシデントが繰り返されれば、防御時間の圧縮に関するGoogleの警告を強く裏付けることになる。

第二のシグナルは、ソフトウェアプラットフォームがエージェントの行動をどのように保護するかである。パッケージレジストリ、コードホスト、クラウドプロバイダー、モデルベンダーには、生成された提案と認可済みの実行を区別する制御が必要だ。

有効な対策には、制限されたエージェント権限、隔離されたビルド、依存関係の固定、署名付きリリース、センシティブなコマンドに対する承認要件が含まれる。ログには、エージェントが何を読み、なぜ行動したかも保持されなければならない。

汚染されたAI指示が原因となる大規模なレジストリ侵害は、この報告書のサプライチェーン論を強化するだろう。効果的なエージェント隔離が広く採用されれば、予想される影響は弱まる。

第三のシグナルは、監視された商用サービスからローカルモデルや盗用コンピューティングへ攻撃者が移行する動きである。この移行により、GoogleやAnthropicなどのプロバイダーが利用できる可視性は低下する。

GTIGはすでに、UNC6508が侵害されたインフラ内でオープンウェイトモデルを実行していることを観測した。この手法が継続的に増加すれば、モデルレベルの執行は決定力を失う。

防御側は、予期しないGPUのプロビジョニング、異常なモデルダウンロード、通常とは異なる推論トラフィック、新規作成されたAIサービス認証情報を監視すべきである。これらの事象は、従来型の侵入アラートが出る前にリソース窃取を示す可能性がある。

以前のゼロデイ事例は、関連するベンチマークを提供している。Googleによると、犯罪者は、これまで知られていなかった認証上の欠陥を発見して武器化する際にAIを使ったとみられる。

独立して確認された事例が日常的になれば、リスクは既知の弱点をより速く悪用することを超える。攻撃者は新たな機会をより多く得ることになる。

現時点で最も強い証拠は、自動化と規模に関するものだ。AIによるサイバー脅威の自動化は、既知の作業の反復、ツールの連携、運用ミスからの迅速な回復を攻撃者に可能にする。

それでも、異なるセキュリティ態勢が求められる。組織は、コード、認証情報、外部コンテンツ、本番システムにアクセスできるすべてのエージェントを棚卸しすべきである。

また、モデルへのアクセスと実行権限を分離すべきだ。コマンドを推奨できるアシスタントに、それを実行する権限まで自動的に与える必要はない。

チームはまず、実践的な一つの問いを検証することから始められます。エージェントが管理するアカウントは、第二の統制が介入しないまま、本番環境を変更したり、パッケージを公開したり、機密情報を露出させたりできるでしょうか。

この答えは、自動化が防御側を支援するのか、それとも攻撃者の経路を気づかないうちに拡大するのかを明らかにします。GoogleのAIサイバー脅威レポートは、その評価を将来のロードマップではなく、現在のセキュリティ計画に組み込むべき時期であることを明確にしています。