AIエージェント軍団がJohn DeereやSharkNinjaに侵入——100サイト超を攻撃、関与した人間はわずか1人

セキュリティ研究者が、自律型のAIエージェントエンジン「Cairn」の公開インスタンスを悪用した大規模な攻撃を発見したとThe Vergeが報じています。発見したのはセキュリティ企業Norforgeで、農機メーカーのJohn Deere、家電メーカーのSharkNinja、エンジンメーカーのCumminsを含む100以上のウェブサイトが被害を受けていたことが分かりました。注目すべきは、これらの攻撃のほとんどが人間の直接的な関与なしに、AIエージェントによって自律的に実行されていたという点です。AIを使ったサイバー攻撃への懸念は技術の高度化とともに強まっていましたが、テスト環境から抜け出した「暴走エージェント」自体が攻撃を仕掛けるケースが表面化した形です。

「Cairn」という自律型AIエンジンが悪用された経緯

Norforgeがこの攻撃を発見したきっかけは、オープンソースのAIプラットフォーム「Cairn」の公開設定にありました。Cairnは自らを「汎用の問題解決エンジン」と位置づけており、利用者が開始地点と終了地点を設定すると、AIエージェントが作業の進捗を記録しながらタスクを自律的に進めていく仕組みを持っています。本来は開発やリサーチの効率化を目的としたツールですが、Norforgeの指摘によれば、ハッカーがこの仕組みをそのままサイバー攻撃の自動化に転用できてしまう点が問題でした。Norforgeは、外部からアクセス可能で「悪用の可能性が高い」とみられるCairnのインスタンスを20件以上確認しており、同社はこれらの悪用インスタンスを停止させるべく動いているとのことです。

John Deere・SharkNinja・Cumminsの対応

Reutersの報道によれば、今回確認された攻撃者の中で最も活発だったのが、100を超えるサイトへの侵入に成功した1件のCairnインスタンスでした。標的になった企業の対応は次の通りです。

• John Deere: 広報担当者がReutersに対し、「機密情報へのアクセスがあったことを示す兆候はない」とコメント
• SharkNinja: 被害は製品サポート情報を扱う独立したサイトにとどまり、脅威はすでに封じ込め済みと説明
• Cummins: 広報担当のMelinda Koski氏が「第三者ベンダーが運営するウェブサイトへのサイバー攻撃の可能性について調査中」とThe Vergeに説明

3社とも深刻な情報流出には至っていないとする一方、いずれも外部委託先や関連サイトが起点になっている点は共通しており、サプライチェーン全体のセキュリティ管理の難しさを浮き彫りにしています。

23時間で突破——中国語100文字未満の攻撃指示

Reutersの報道では、この最も活発だった攻撃者はアメリカ、カナダ、オーストラリア、日本の企業を標的にしていたことも分かっています。攻撃者は「好ましい侵入手法」を100文字に満たない中国語の指示として与えるだけで、AIエージェントに攻撃を代行させていました。実際に侵入が成功するまでにかかった時間は平均で約23時間だったとされ、人間が逐一操作しなくても、短い指示文だけで時間をかけて自律的に攻撃を完遂できてしまう現実が示された格好です。

開発者の反論と広がる懸念

Cairnの開発者を名乗るアカウント(@le1xia0)は今月初め、「Cairnは一度も『ハッキングツール』だったことはない」「悪用は人間の判断の問題であり、エンジンの機能の問題ではない」と反論しています。ただし、テスト用に公開されたAIエージェント基盤が第三者に発見され、攻撃インフラとして転用されるリスクは今回に限った話ではありません。開発環境や検証用インスタンスを安易にインターネット上へ公開している企業は、自覚のないまま攻撃の踏み台を提供してしまう可能性があります。自律型AIエージェントを業務に導入する企業が増える中、アクセス制御や公開範囲の見直しは、日本企業にとっても他人事ではないテーマになりつつあります。

Source The Verge

A hacker broke into John Deere and SharkNinja with an army of AI agents

The AI agents infiltrated more than 100 websites.