AIエージェントを使ったハッキングで、100以上のウェブサイトが被害に遭ったことがAIセキュリティ企業Norforgeの調査でわかりました。ロイターによると、被害企業にはJohn Deere、SharkNinja、Cumminsが含まれています。攻撃の大半をAIエージェントが自律的にこなしていた点が、今回の調査で見えてきた特徴です。
Norforgeがハッカーの攻撃手口を特定
AIセキュリティ企業Norforgeの調査によると、ある一人のハッカーが「army of AI agents」を使って100以上のウェブサイトに侵入していたことがわかりました。ロイターの報道では、被害を受けた企業としてJohn Deere、SharkNinja、Cumminsの名前が挙がっています。Norforge自体は被害企業名を公表していません。
この攻撃が見つかったきっかけは、オープンソースのAIプラットフォーム「Cairn」の設定ミスでした。Cairnは「general-purpose problem-solving engine」を名乗るツールで、利用者が作業の開始地点と終了地点を設定すると、AIエージェントが進捗を記録しながら自律的にタスクを進める仕組みです。本来は汎用的な問題解決のために作られたツールですが、Norforgeの指摘では、これをハッカーがサイバー攻撃の指揮に転用できてしまうといいます。
Norforgeが発見した「悪用の可能性が高い」Cairnのインスタンスは20件を超えました。その中でもっとも活動が目立っていたのが、米国、カナダ、オーストラリア、日本の企業を標的にしていた今回のハッカーだったと、ロイターは伝えています。このハッカーは「preferred intrusion tactics（好む侵入手法）」を100字に満たない中国語の文章で指示しただけで、あとはAIエージェントに任せていたとされます。侵入に成功するまでにかかった時間は、平均で約23時間だったとロイターは報じています。
人間が担っていたのは攻撃の方針を言葉で示す部分だけで、実際の侵入作業はAIエージェントがほぼ自力で進めていた、というのがこの事案の核心です。これまでのサイバー攻撃でも自動化ツールは使われてきましたが、ここまで人間の関与が薄い状態で100件を超える侵入が成立した事例として報告されている点が、Norforgeの調査結果の焦点になっています。
被害企業3社の対応と技術側の反論
被害が指摘された企業の反応は、それぞれ異なります。CumminsはThe Vergeの取材に対し、スポークスパーソンのMelinda Koski氏が「サードパーティのベンダーが運営するウェブサイトへの潜在的なサイバー攻撃の報告を調査している」とコメントしました。自社が直接運営するサイトではなく、委託先のサイトが対象だったという説明です。
John Deereのスポークスパーソンはロイターに対し、「機密情報がアクセスされた痕跡はない」と述べています。SharkNinjaは、影響を受けたのは製品サポート情報を扱う独立したサイトであり、すでに脅威を封じ込めたとコメントしました。両社ともThe Vergeからの取材依頼にはすぐに応じなかったと報じられています。
これらのコメントを並べると、被害の実態についての説明には温度差があります。Cumminsは調査中とだけ述べ、John DeereとSharkNinjaはすでに「機密情報への影響はない」「脅威は封じ込めた」と踏み込んだ説明をしています。ただし、これらはいずれも各社自身の発表であり、Norforgeなど第三者による検証結果として報じられたものではない、という点は押さえておく必要があります。
一方、攻撃に使われたCairnの開発者は火消しに動いています。「@le1xia0」というハンドルネームの開発者は、今月すでに「Cairnは『hacking tool』だったことは一度もない」「悪用は人間の決定であり、エンジンの機能ではない」と説明していました。Norforgeは現在、悪用されているCairnのインスタンスを停止させる作業を進めているとしています。
この構図は、汎用的な自動化ツールが登場したときによく見られる議論と重なります。ツール自体は特定の用途に限定されていないため、開発者側は「使い方の問題」と主張し、セキュリティ企業側は「悪用できる設計上の余地」を問題視する。今回のケースでその結論がどちらに転ぶかは、Norforgeの継続調査や各社の正式な被害報告を待つ必要があります。現時点で公開されている情報だけでは、Cairnというツール自体に欠陥があったのか、運用設定のミスだったのかを判断する材料は十分ではありません。
用語補足：Cairn
Cairnは、利用者が作業の開始地点と終了地点を指定すると、AIエージェントが自律的にタスクを進めていく、オープンソースの汎用問題解決エンジンです。もともとサイバー攻撃を目的に作られたツールではなく、開発者も「hacking tool」ではないと説明しています。今回の事案で問題になったのは、Cairnのインスタンス設定が外部から見える状態になっており、それを悪用したハッカーがサイバー攻撃の指揮に転用できてしまった点です。したがって「Cairnというツールに欠陥があった」という単純な図式ではなく、「汎用自動化ツールの設定ミスが悪用された」という事案として読む必要があります。
注目ニュース
Nvidiaがエージェント向けのオープンモデルを発表
Nvidiaが10月、常時稼働のエージェント向けに新しいオープンウェイトモデルを発表しました。企業向けの大型モデル「Nemotron 3.5 Super VL」は1200億パラメータで、Nemotron 3 Ultraより少ないパラメータ数ながら、指示追従やツール利用のタスクで同等の精度を出せるとNvidiaは説明しています。PC向けには軽量な「Bolt」シリーズを2種類投入し、NvidiaのRTX Spark搭載PCやDGX Sparkワークステーションでローカル動作させる想定です。Nvidiaはこれらのモデルを、Skydance、EY、Ramp、Crowdstrike、Perplexity、Salesforceなどが利用していると説明しています。
Salesforce環境のFlow連携でガバナンスの課題
The Hacker Newsの記事では、Salesforce Agentforceの標準機能であるFlow、Email-to-Case、Web-to-Caseを組み合わせた際のガバナンス上の課題が指摘されています。Flowはレコード作成や更新をトリガーにエージェントへデータを渡す仕組みで、Email-to-CaseやWeb-to-Caseは顧客からの問い合わせをケースとして記録する、航空会社やホテルの問い合わせ対応で使われる標準機能です。どちらも公式にドキュメント化された機能ですが、これらを連結させた場合の挙動について、同記事は論点を提示しています。
DisneyがCharacter.AIの従業員と技術を取得
Character.AIが破産を申請し、DisneyがCharacter.AIの従業員の大半（前CEOのKarandeep Anand氏を含む）を採用し、技術スタックの大部分を取得する取引が進んでいます。9月の最初の取引でDisneyはCharacter.AIに550万ドル（約8億7,000万円）を支払い、返金可能な「good faith deposit」として200万ドル（約3億1,600万円）を預けたと、WIREDが報じています。Character.AIは未成年者への自傷行為の助長などをめぐる訴訟や、40州による捜査を抱えており、この取引によってDisneyは従業員と技術を得る一方、訴訟や規制上の責任はCharacter.AI側に残る形になっていると記事は伝えています。
ニフティが54万件超の情報漏えいの可能性を公表
ニフティは10月19日、回線申し込みや受付管理のシステムが不正アクセスを受け、最大54万2513件の情報が漏えいした可能性があると発表しました。対象は2019年以降に同社ウェブサイト以外の経路で「＠nifty光」などの光回線サービスを申し込んだ顧客の会員ID、氏名、生年月日、住所、電話番号、メールアドレスなどです。口座情報やクレジットカード情報は対象に含まれていません。同日午前10時20分ごろに不正アクセスを確認し、すでに攻撃元からの通信は遮断済みとのことです。
編集後記：23時間という数字の意味
今回の事案で目についたのは、侵入成功までの平均時間が約23時間だったという数字です。人間のハッカーが指示したのは100字に満たない中国語の文章だけで、そこから実際の侵入作業までをAIエージェントが担っていました。この時間が速いのか遅いのかを比較する基準は、今回確認した報道の中にはありません。ただ、指示の分量とかかった時間の落差は、攻撃の組み立て方そのものが変わりつつあることを示す具体的な材料だと感じます。John DeereやSharkNinjaの説明のように、被害企業側の発表には「機密情報への影響はない」といった前向きな内容も含まれていますが、それはあくまで各社自身の言葉であり、第三者機関による検証結果ではない点は、読み進める上で意識しておきたいところです。