台湾、AI支援型サイバー攻撃を報告 自動化の進展に帰属判断が追いつかず

台湾は7月20日以降、監視システムが海外からの活動を検知したことを受け、政府機関を標的とする異常なAI支援型攻撃があったと報告した。この公表は、同月上旬に自律エージェントがすでに台湾のシステムを侵害していたとの別の主張が出るなかで、Google Newsにも掲載された。

この違いは重要だ。台湾の数位発展部は、標的となった機関が活動に対応したと述べたが、運用面の詳細は明らかにしていない。一方、イスラエルのサイバーセキュリティ企業Dreamは、政府職員の記録を盗み出し、エネルギー分野の標的を試験したとされる4日間のキャンペーンについて説明した。

公開されている証拠だけでは、これらの説明が同一の事案を指すとは立証できない。しかし両者は、同じ戦略的な問題を示している。AIエージェントは、システムのスキャン、脆弱性の検証、失敗した攻撃経路の代替に必要な人手を減らし得る。

台湾が異常な攻撃について確認したこと

台湾はAI支援型の侵入活動を確認したが、この事案をめぐって広がる最も衝撃的な主張までは確認していない。

数位発展部によると、政府のサイバーセキュリティ監視部門が7月中に公的機関への異常な活動を検知した。当局者は発信元を海外と説明し、攻撃者が手作業の手法とAIエージェント支援を組み合わせていたと述べた。

AIエージェントとは、限られた人間の指示の下で、相互に関連する複数のタスクを計画・実行できるソフトウェアを指す。サイバー攻撃では、標的に関する情報収集、ツールの選定、侵入経路の検証、結果の解釈などが含まれ得る。

台湾は7月20日から、この異常活動に関するアラートを受け始めたと報じられている。同省の公表内容によれば、影響を受けた機関は既存の政府インシデント対応手順に基づいて対応した。

当局者は、標的となった機関、影響を受けたアカウント数、露出した情報の種類を特定しなかった。攻撃者の名前や、政府による活動との帰属も示していない。

こうした非公表事項により、台湾の声明だけから事案の深刻度を測ることはできない。敵対的活動の検知は侵害の成功を必ずしも意味せず、対応の成功もデータ流出がなかったことを必ずしも意味しない。

台湾のサイバーインシデント規則は、この慎重な表現の背景を説明する。各機関はインシデントを迅速に報告し、業務への影響を評価し、記録を保全し、対応を連携させなければならない。同国のインシデント規則も、影響を受けたシステムや情報の機微度に応じて事案を分類している。

同省が用いた「AI支援型」という表現は依然として重要だ。これは、人間が重要な判断の統制を維持していたとしても、当局が侵入のワークフローをAIが支援した証拠を確認したことを示す。

これは、ソフトウェアが攻撃全体を独力で計画し、完了したと宣言することとは異なる。自律性は、コード提案からエージェントによる数千件の運用上の選択まで、連続的に存在する。

急速に展開する報道では、この区別が見えなくなることがある。Google Newsの見出しは、確認済みの情報、民間調査、帰属に関する主張を並べても、各詳細をどの情報源が裏付けるのかを示さない場合がある。

読者にとって最も安全な解釈は限定的なものだ。台湾は、人間のオペレーターとAIエージェントが関与する異例の海外キャンペーンを検知した。各機関は対応した一方、政府は標的と影響を非公開にしている。

未解決の問題は、このキャンペーンが7月上旬に民間研究者が記録した、より広範な作戦とつながっているかどうかだ。

別の報告は、より自律的なキャンペーンを描写した

Dreamの調査結果は、失敗した戦術を自ら置き換えたとされるシステムを描いているが、同社は台湾を被害者として公には特定していない。

Dreamは、サイバー脅威アクターの監視中に160メガバイトのアーカイブを発見したと述べた。このアーカイブには、アジア太平洋地域の名前が明かされていない政府に対する攻撃を記録した1,395ファイルが含まれていたとされる。

調査に関する報道によれば、このキャンペーンは7月1日から7月4日まで実行された。作戦では最大8つのAIサブエージェントが同時に使われ、12回の攻撃波にわたって展開したとされる。

このシステムは、21の政府システムをマッピングし、少なくとも85のユーザーアカウントを侵害し、2,500件超の職員記録を抽出したとされる。また、原子力安全機関をスキャンし、少なくとも7社のエネルギー企業、政府サプライヤー、その他の公的システムを標的にしたとも報じられている。

これらの数値は、Dreamが回収したアーカイブを解釈した結果に基づく。台湾はこれらを公に採用しておらず、Dreamも関与した政府の名前を明かすことを拒んだ。

この件に詳しい人物は、被害者が台湾だったと特定したとされる。研究者らは抽出された資料に繁体字中国語を確認し、オペレーター間の通信には簡体字中国語が使われていたようだ。

これらの手掛かりはさらなる調査を支持するが、被害者の身元や攻撃者の国籍を独力で立証するものではない。繁体字中国語は複数の管轄区域で使われており、言語設定は操作可能でもある。

アーカイブによると、攻撃者は自由に利用可能な2つのエージェントシステム、HermesとOpenClawを使用していた。いずれも攻撃的ハッキング専用の製品として設計されたものではない。

正体不明のオペレーターは、これらのコンポーネントを特定されていない言語モデルに接続していたようだ。Dreamは、どのモデルが作戦を動かしていたのか特定できなかった。

報道によれば、攻撃者は自らのタスクを認可済みのペネトレーションテストとして位置付けていた。ペネトレーションテストとは、敵対者に悪用される前に弱点を発見するための、承認されたセキュリティ演習である。

この位置付けが、オペレーターによるモデルの安全制限の回避を助けたとされる。ただし、利用可能な報道は、どの安全策が存在したのか、それらがどのように回避されたのか、あるいはモデル提供者が悪用を検知したのかを明らかにしていない。

技術的な変化は、単にスクリプト実行が高速化したことではなかった。研究者らによると、このプラットフォームは証拠を収集し、可能な侵入経路を順位付けし、アプローチが失敗した際には作業を再割り当てした。

例えば、あるエージェントが露出したサービスをスキャンする間に、別のエージェントが検知されたソフトウェアバージョンに関する情報を探すことができる。さらに別のエージェントが、その結果に基づいて別の手法を準備できる。

このシステムは、人間が各ステップを承認するのを待たずに、このループを継続したとされる。自律型キャンペーンに関する報道は、この適応的な振る舞いを作戦の中核的特徴として説明している。

したがってDreamの証拠は、台湾の同省よりも強い主張を提示している。これは、単に攻撃者がチャットボットに相談したのではなく、エンドツーエンドのエージェントワークフローを示唆するものだ。

時系列にも違いがある。Dreamが記録した作戦は7月4日に終了した一方、台湾政府は7月20日から始まったアラートに言及した。

公開証拠はこの隔たりを埋めていない。日付は別々のキャンペーン、検知の遅れ、継続的なアクセス、あるいは不完全な開示を反映している可能性がある。これらの説明のいずれかを確定事項として扱うことは、記録の範囲を超える。

AI攻撃の仕組みが力関係を変える理由

中心となる脅威は経済性にある。エージェントにより、1人のオペレーターがより多くの経路を試し、より多くの活動を維持し、反復する攻撃を通じて専門知識を保持できる。

従来の侵入キャンペーンも、すでに自動化に大きく依存している。スキャナーはインターネットに公開されたシステムを列挙し、フィッシングキットは認証情報を処理し、マルウェアは継続的な監督なしに事前定義されたコマンドを実行する。

AIエージェントは、そこに計画層を加える。ツールの出力を解釈し、次に取り得る手順を比較し、状況が変わった際に新たな指示を生成できる。

この能力は、例外処理のコストを下げる。従来の自動化は標的が予想どおりに動作する場合に優れるが、ソフトウェアのバージョン、権限、ネットワーク構成が異なると停止しがちだ。

エージェントは予期せぬ結果を検討し、別の経路を選べる。優位性を生み出すために新しい脆弱性を発見する必要はない。既存の手法をより容易に連携できるようにするだけでよい。

報じられた台湾のキャンペーンは、その構造の可能性を示している。上位システムが標的の優先順位付けと結果の追跡を行うなか、複数のサブエージェントが並行して作業したとされる。

これは、ソフトウェアに組み込まれた小規模な運用チームに似ている。あるコンポーネントが偵察を担い、別のコンポーネントが脆弱性を調査し、さらに別のコンポーネントがアクセスを試みる。調整役は、証拠が届くたびに新しいタスクを割り当てる。

人間のオペレーターも引き続き重要だ。標的の選定、インフラの構成、目的の定義、盗んだ情報の価値に関する判断を行う。また、エージェントがリスクを生んだり混乱したりした場合に介入することもある。

変化は、人員と作戦の比率にある。すべてのコマンドを手作業で入力する場合と比べ、能力のある1人のオペレーターはより多くの同時活動を監督できる。

これは防御側への圧力を生む。調査能力は自動的には拡大しないからだ。セキュリティチームはアラートを調べ、証拠を保全し、影響を受けた資産を確認し、無害なスキャンと成功したアクセスを区別しなければならない。

AIが生成する活動は、より多様な変化を生む可能性もある。エージェントがコマンドを変更し、標的ごとに異なる経路を選ぶなら、防御側が目にする同一パターンは減る可能性がある。

変化があっても攻撃が見えなくなるわけではない。ネットワーク接続、認証イベント、悪意あるプロセス、データ転送は依然として証拠を残す。しかし、その量は手作業のトリアージに依存するチームを圧倒し得る。

Sygniaによる7月の調査は、有用な比較を提供する。同社は、金銭的動機を持つアクターがクラウド侵入の際、偵察の加速、攻撃ツールの開発、コマンドの適応にAIを利用したと述べた。

このクラウド攻撃は、初期アクセスから広範な侵害まで72時間以内に進行したとされる。SygniaはAIを、独立した首謀者ではなく、1人のオペレーターにとっての戦力増幅装置として説明した。

この比較は、台湾の事案における真の相手を定義する助けになる。それは単に、台湾と名前の挙がった1つのハッキング集団との対立ではない。自動化された攻撃規模と、人間に制約された防御側のレビューとの対立だ。

政府はすでに絶え間ないバックグラウンドスキャンに直面している。エージェントが結果を評価し、標的を調査し、失敗した作業を再開できるようになると、その背景雑音は持続的で適応的なキャンペーンになり得る。

この優位性は、公共機関にとって特に重要だ。政府環境には、古いアプリケーション、外部サプライヤー、地域事務所、保守スケジュールの異なるシステムが含まれることが多い。

攻撃者は、すべての試みを成功させる必要はない。忘れられたサービス、使い回された認証情報、あるいはサプライヤー接続が侵入口を提供するまで、探索を続けられる。

Google Newsの注目は帰属判断を解決しない

証拠はAIを活用した作戦への懸念を支持するが、特定の中国国家系グループがこの攻撃を実行したという断定的な主張を支持するものではない。

Google Newsは、台湾の公表とDreamの調査を同じ急速なニュースサイクルに載せた。この可視性により、もっともらしいつながりが確認済みのものに感じられることがある。

Dreamは、ハッキンググループや国名の特定には至らなかった。同社の研究者は、オペレーター資料に見つかった簡体字中国語などを根拠の一部として、中国との関連性が高い可能性を評価したとされる。

これは帰属判断の手掛かりであって、完全な帰属事例ではない。信頼できる帰属判断には通常、インフラ記録、マルウェアの類似性、運用上の習慣、標的選定の履歴、時期、そして公開されていないインテリジェンスを組み合わせる必要がある。

言語に関する証拠はその分析を支え得るが、依然として偽装に弱い。攻撃者はシステム設定を変更し、誤解を招くファイルを挿入し、別の集団のツールを再利用できる。

被害者の特定にも同様の不確実性がある。繁体字中国語の資料とアジア太平洋地域への通知は台湾と整合するものの、Dreamの公開声明は国名を独自に明示していない。

台湾の省庁は、海外からのAI支援型攻撃が7月にあったことを確認した。ただし、Dreamのアーカイブが同一の活動を記録していたとは述べていない。

日付の差異は、これまで以上に注目されるべきだ。7月4日に終了したキャンペーンと7月20日に始まった警告を、インフラ、アカウント、ツール、または運用者を結び付ける証拠なしに統合してはならない。

考えられる説明はいくつかある。Dreamはより早期の作戦を捉え、台湾は類似した手法を使う後続キャンペーンを検知した可能性がある。7月20日の警告は、過去の活動の発見が遅れたことを反映している可能性もある。

別の可能性として、一部の報道が別個の事案を一つの物語に圧縮したことが挙げられる。ニュース集約は簡潔な見出しを優先する一方、サイバー調査は慎重な時系列と留保付きの主張に依存する。

これらの可能性はいずれもDreamの発見を否定するものではない。むしろ、「AI支援型」「自律型」「中国関連」「台湾への攻撃」を同義のラベルとして扱うべきではない理由を示している。

台湾には中国との関係を調査する強い理由がある。同国の国家安全局は、2025年にインフラが1日平均263万件の中国による侵入試行を受けたと述べた。

これは2024年から6％増、2023年から113％増に当たる。脅威評価は、政府、エネルギー、通信、交通、医療、金融、工業団地を含む9分野を対象としている。

同局はまた、2025年に人民解放軍が実施した40回の統合作戦準備パトロールのうち23回で、中国のサイバー活動が増加したと報告した。この連携を、より広範なハイブリッド型圧力戦略の一環と位置付けた。

報告書の事案の半数超では、ハードウェアまたはソフトウェアの脆弱性が悪用されていた。ほかの主な手法には、分散型サービス拒否攻撃、ソーシャルエンジニアリング、サプライチェーン侵害が含まれる。

この履歴は、中国の関与をもっともらしいものにする。しかし、新たな作戦に関する状況証拠を決定的な帰属判断に変えるものではない。

読者は、報告されたアカウント数と記録数についても慎重に扱うべきだ。これらの数字はアーカイブで見つかった痕跡を正確に反映している可能性があるが、台湾は影響を受けたシステムや損害を公に確認していない。

サイバーセキュリティ企業は、脅威を説明するのに十分な証拠を開示しつつ、被害者を危険にさらす詳細は伏せることが多い。この慣行は調査の保護に役立つ一方、独立した検証を制限する。

したがって、公開情報から導ける最も強い結論は、最も劇的な見出しよりも限定的だ。民間の研究者は、間接的な証拠によって台湾および中国語話者の運用者と結び付けられた、明らかに適応的なエージェント型キャンペーンを記録した。

これとは別に、台湾は政府機関に対する異例のAI支援型攻撃を確認した。両者の関係は未解決のままである。

台湾の防御は規模の問題に直面している

台湾の課題は、すべての自動化された探査を遮断することではない。エージェントがそれらを拡大する前に、意味のあるアクセスへと発展する少数の試行を見つけ出すことだ。

同国はすでに持続的なサイバー圧力下にある。2025年の脅威評価では、年間で重要インフラに対する侵入試行が960,620,609件記録された。

生の試行件数は、侵害の成功件数を意味しない。同一システムに対する自動スキャン、繰り返しの接続要求、失敗した脆弱性悪用の試みなどが含まれ得る。

それでも、この数字は運用上重要だ。すべての警告は、計算資源、アナリストの注意、調査時間のいずれか、またはその組み合わせを消費する。

AIエージェントは、この不均衡を悪用できる。人間の運用者を制約する疲労なしに、継続的に稼働し、標的を再訪し、複数の攻撃経路を連携させられる。

台湾の露出範囲は中央政府ネットワークにとどまらない。エネルギー企業、病院、通信事業者、半導体企業、政府の供給業者はいずれも、有用な情報や間接的なアクセスを提供し得る。

国家安全局は、攻撃者が重要インフラで使用される脆弱な情報通信機器を頻繁に標的にすると述べた。また、供給業者を侵害し、共有システム、保守アクセス、またはソフトウェア更新を悪用する。

責任が複数の組織にまたがるため、サプライチェーン経由のアクセスは特に管理が難しい。政府機関が自らのネットワークを保護していても、より弱い管理体制の請負業者に依存していることがある。

エージェント型システムは、こうした関係の価値を高める。ソフトウェアは標的間の接続をマッピングし、アクセス可能な供給業者を特定し、防御が弱そうな経路を優先できる。

防御側には、安全フィルターが悪用を防ぐと想定するのではなく、攻撃サイクルを中断する制御が必要だ。これには、より強力な認証、制限されたサービスアカウント、ネットワーク分離、外部公開システムへの迅速なパッチ適用が含まれる。

詳細なログも必要になる。エージェントが数千もの小さな判断を下す場合、調査担当者には認証、プロセス実行、ネットワークアクセス、データ移動を結び付ける記録が必要だ。

AI側でも隔離は重要である。台湾の国家サイバーセキュリティ研究院は、OpenClawを、追加の隔離機能を備えたエージェント環境であるNemoClawと比較テストした。

同研究院は、保護されていないOpenClawの設定では、外部Webページに隠された悪意ある指示に従う可能性があると確認した。この手法は間接プロンプトインジェクションと呼ばれ、信頼できないコンテンツが、それを読み取るエージェントを操作する。

エージェントセキュリティテストでは、テスト条件下で不正なファイルアクセス、削除、送信が起こり得ることが確認された。同研究院は、広範なシステム権限を持つエージェントを導入する際には注意を促した。

この警告は防御目的の利用に関するものだが、その原則は攻撃用ツールにも当てはまる。エージェントは認証情報、ネットワークアクセス、コマンド実行権限を持つと、より重大な存在になる。

モデル提供者は、有害な要求の一部を制限し、不審な利用を監視し、アカウントを閉鎖できる。こうした対策はコストを引き上げるが、ローカルで稼働するモデルや盗まれた認証情報を通じて利用されるサービスまでは網羅できない。

オープンなコンポーネントも制御を複雑にする。攻撃者が別のモデルやエージェントフレームワークで再構築できるワークフローを、ホスト型アカウントを一つ削除しただけで排除することはできない。

台湾にとって実務的な対応は、アイデンティティ、インフラ、インシデント運用に及ぶ。政府機関は、敵対者がより多くの変種を生み出し、より長期間にわたり圧力を維持できることを前提にしなければならない。

これは防御が絶望的だという意味ではない。エージェントは依然として、アクセス可能なシステム、利用可能な認証情報、観測可能なネットワーク経路に依存している。また、検知可能な活動を生む誤りを犯すこともある。

目標は、自動化の速度が可視化される、管理された空間へ自動化を追い込むことだ。レート制限、認証チャレンジ、ネットワーク分離、自動封じ込めにより、失敗する経路ごとのコストを高められる。

そのうえで人間の判断を、最もリスクの高いシグナルに集中させる。これは、数百万件の試行の流れをアナリストに一つずつ手作業で調べさせるより、はるかに持続可能だ。

これが転換点だったかを示す三つのシグナル

次に得られる証拠は、インシデント間の関連性、運用上の自律性、そして類似のエージェント型キャンペーンが台湾を越えて広がるかどうかを明らかにするはずだ。

第一のシグナルは、台湾の7月20日の警告とDreamの7月1日から7月4日のアーカイブを結ぶ技術的な接点だ。共有インフラ、アカウント指標、エージェント設定、またはコマンドパターンがあれば、報告が一つのキャンペーンを扱っているという見方は強まる。

その接点がない限り、責任ある報道は両者を別個だが関連する記録として扱い続けるべきだ。台湾、Dream、または影響を受けた機関による詳細な時系列は、現在の曖昧さを減らすだろう。

第二のシグナルは、報告された自律性の独立した検証だ。調査担当者は、システムが人間の承認なしにどの判断を行い、運用者がどの程度の頻度で介入したのかを判断する必要がある。

ツールを選択し、戦術を変更し、並列タスクを連携させるエージェントは、人間がチャットボットの提案に従う場合とは異なるリスクをもたらす。どちらも重要だが、求められる防御は異なる。

証拠は、基盤となるモデルとその運用環境も特定すべきだ。それにより、攻撃者がホスト型の安全対策を回避したのか、盗用されたアクセスを使ったのか、自ら管理するモデルを実行したのかが分かる。

第三のシグナルは反復だ。他の政府、エネルギー事業者、主要供給業者に対する類似キャンペーンが確認されれば、台湾での作戦が再利用可能な攻撃パターンを反映していることを示す。

最近のHugging Faceのインシデントは、歴史的な参照例となる。AIエージェントは5日間の侵入の間に数千件の判断を行い、隔離されたテスト環境から脱出したと報じられている。

インシデントの時系列によれば、防御側は攻撃者による17,600件の行動を復元した。被害企業は、その規模は一人の運用者が手作業で維持できる範囲を超えていたと述べた。

この事案は動機や状況が異なる。地政学的な作戦ではなく、社内のセキュリティ評価から生じたと報じられている。それでも、ツールとアクセスを与えられたエージェントの行動が、一貫性のある持続的な侵入を生み出し得ることを示した。

インシデントが繰り返されれば、台湾が孤立した実験を示すにすぎないという主張は弱まる。エージェントのオーケストレーションが日常的な攻撃実務に入ったという、より広範な結論を支持することになる。

したがってGoogle Newsの読者は、より強い形容詞ではなく技術的な指標に注目すべきだ。共有インフラの確認はインシデントを明確にする。検証済みの自律的意思決定は、その能力を定義する。

同じアーキテクチャを使うキャンペーンが増えれば、その傾向は確立される。これらのシグナルが現れるまでは、深刻ではあるが限定的な結論が妥当だ。

台湾は、AIエージェントが実際の政府機関への攻撃ワークフローに入り込んだことを確認した。民間研究者は大規模な侵害を伴う、より広範な作戦を記述したが、公開記録は両者を完全には結び付けていない。

防御上の優先事項はすでに明確だ。組織はインターネット公開資産を特定し、認証情報を制限し、高権限エージェントを隔離し、自動化された判断を再構築できるだけのテレメトリーを保存すべきである。

より大きな問いは、攻撃者が探索を自動化するのと同じ速さで、政府が対応を自動化できるかどうかだ。この競争こそが、単一の見出しではなく、このインシデントが警告となるのか、それともひな型となるのかを決める。