AIエージェントで構築した「自律型ハッキングツール」がアジアの政府機関を攻撃、中国による台湾政府への攻撃か

中国のハッカーとみられる人物が、一般に公開されているAIツールを使って台湾の政府系ウェブサイトを侵害したことが報じられています。イスラエルのAI企業・Dreamの研究者によると、攻撃者はオープンソースのAIエージェントを使用して、連携のとれたサイバーチームのように振る舞う自律的なハッキングツールを構築したとのことです。

Inside a Multi-Agent AI Framework Used to Compromise Government Entities in Asia | | Dream Security Blog
https://www.dreamgroup.com/blog/inside-a-multi-agent-ai-framework-used-to-compromise-government-entities-in-asia

China-linked hackers hit Taiwan in unprecedented ‘autonomous’ AI cyber attack
https://www.ft.com/content/7d2ab3e0-9085-48f6-b38a-d90260d58795

2026年7月初旬の4日間、AIエージェントを連携させたハッキングツールは最大8つの自律型エージェントを同時に展開し、21の政府システムをマッピングし、脆弱(ぜいじゃく)性を調査し、ブロックされた場合は戦術を変更して攻撃を行いました。そのうち1つでは、認証なしで数千人分の職員データベースにアクセスできる状態だったそうです。Dreamの調査によると、この攻撃者は1395個のファイル・85件の認証情報・2564件以上の職員・関係者記録を取得したとのこと。さらにその後、攻撃対象を台湾の原子力安全機関や少なくとも7つのエネルギー企業に拡大したことも明らかになっています。

Dreamは「今回の件は、高度な攻撃を実行するコストは大幅に低下した一方で、攻撃に対する防御コストは依然として高いことを明確に示しています」と述べています。また、Dreamの最高戦略責任者であるアミール・ベッカー氏は、「以前はイスラエルの精鋭信号情報部隊である『8200部隊』でサイバー作戦を指揮していましたが、政府機関を標的としたこのような『エンドツーエンドの自律型攻撃』はこれまで見たことがありません」と語りました。ベッカー氏によると、AIツールの登場により各国政府は恒常的なサイバー攻撃を受けていると想定しなければならなくなっているそうです。

Dreamは今回の攻撃対象について「アジアの政府機関」とのみ記述しており、社内方針を理由に政府の詳細を明かすことを拒否していますが、フィナンシャル・タイムズが攻撃について知る人物から聞き取った情報によると、標的は台湾だったそうです。また、Dreamは今回の攻撃を特定のグループによるものとは断定していませんが、ハッキングに関連する内部通信で簡体字中国語が使用されていたことから、攻撃者が中国と関係している可能性が高いと指摘しています。

さらにDreamは、今回の攻撃に使われた「マルチエージェントAIフレームワーク」の構造について調査結果を発表しています。Dreamによると、攻撃に使われたのは「Hermes」と「OpenClaw」というAIエージェントを基盤にしたフレームワークだったとのこと。このフレームワークは1回の攻撃ごとに最大8個のサブエージェントが並列で動作し、それぞれが異なるターゲットと攻撃手法に割り当てられます。4日間に確認された12回の攻撃において、これらのエージェントにはAからQまでのエージェント名が記録されており、それぞれが政府職員の認証情報を自動的に試行して85件のアカウントを突破し、認証されていないAPIエンドポイントから数百件の人事記録を流出させ、政府の個人認証サービスにおける署名検証の脆弱性を発見し、政府のWebアプリケーションに永続的なバックドアをインストールしました。

このフレームワークが従来の攻撃ツールと異なる特徴は、AIに単純なサイバー攻撃を命令するだけではなく、調査・判断・実行・評価を一つのループとして組み込んでいた点にあります。「14の並行攻撃チェーンを継続的にランク付けおよび再優先順位付けして最も価値の高いターゲットに最初に力を集中させる」「既存の手法が通用しなくなった場合に、脆弱性データベース、GitHubリポジトリ、セキュリティ関連の出版物などを検索して、新たな悪用手法を探索する」「各段階の結果を次の段階の計画にフィードバックする構造化された事後報告により、人手を介さずに運用中にフレームワークを適応させる」といった運用を、AIエージェントが自律的に実施していたとみられます。また、AIモデルの安全ガードレールによる拒否は、すべての活動を「承認された侵入テスト」として扱わせることで回避されていたとDreamは説明しています。

Dreamは今回の事例について、AIを利用した攻撃は新しいものではなく、各国政府はこの脅威への対応準備ができていないと指摘。攻撃側が高度なロジックで攻撃を実施しているように、同様の高度な技術が防御側にも必要であり、防御側も同様にAIを活用してどの資産が狙われやすいか、どの攻撃経路が次に使われる可能性が高いかを予測しながら防御する「AIネイティブ」なセキュリティ体制が必要になるとしています。