Unit 42、AI 活用自律型サイバー攻撃の調査結果を発表

Unit 42 は、人間が最先端の AI を活用して企業ネットワークに自律的に侵入し、ランサムウェア攻撃の一環として被害を拡大させたインシデントに対応しました。攻撃者は各セキュリティ層を体系的に突破し、それぞれ異なる防御ラインを狙いながら共通の目標達成を目指しました。その影響規模は複数のレッドチームが連携したようなもので、通常であれば人間が実行する場合に 2 週間かかる作業を短時間で完了させました。

脅威アクターは交渉の中で、最先端の AI モデルと攻撃特化型のエージェント AI フレームワークを活用していたことを明かしました。実行プロセスを自動化ループに移行させたことで、50 以上の MITRE ATT&CK テクニックを用いた従来の手作業による侵入戦術（通常数週間かかる）を 10 時間未満に圧縮したのです。

初期アクセスを獲得した後、攻撃者はエージェントを使用して内部アーキテクチャのマッピングを開始し、ソースコードリポジトリから情報を奪取、ルート認証情報の掌握を図りました。さらに、不正な継続的インテグレーション/継続的デリバリー（CI/CD）ビルドを起動させ、被害企業のクラウド AI インフラストラクチャーのマスターキーも乗っ取りました。

この攻撃が目立った理由は、新たなゼロデイ脆弱性の利用や超エリート級の戦術が不要だった点にあります。AI エージェントに戦術的な実行を任せることで、監視・評価・行動・再計画をリアルタイムで自動処理し、攻撃チェーン全体を通じてスピードを劇的に向上させました。

攻撃者はまた、エージェントに対して組織のセキュリティ体制に関する「レポート」を残すよう指示しました。これは 80 ページにわたる技術監査報告書で、数十件の悪用された脆弱性について詳細が記されています。

マシンスピードな攻撃チェーンの内部

敵対勢力は、現在の AI を活用したソフトウェア開発プロセスを用いて攻撃を実施しました。AI の使用を示す複数の兆候を確認しています：

• 複数の最先端 AI エージェントに対して LLM が並列で呼び出しを実行
• エージェントやセッション間で情報を伝達するための構造化された Markdown ファイル
• UI 要素から判断して高確度で AI 生成と推測されるカスタムスクリプトによる動的操作の管理

10 時間にわたる攻撃オペレーションでは、以下の手順が実行されました：

• 侵入とマッピング: 公開されている Web サービスを介してネットワークに侵入し、内部マイクロサービスをマッピングするための自動再調査エージェントを展開。
• 機密情報の収集: サブエージェントがエンタープライズコードリポジトリを検索し、ハードコードされたトークンやサービスパスワードを抽出。
• 権限の乗っ取り: 露出したトークンを利用してシークレット管理システムに侵入。マスター管理者資格情報を取得し、ルートシステムのアクセス権を掌握。
• パイプラインの悪用: カスタムワークフローを通じてエンタープライズコードアプリケーションを乗っ取り、クラウドアクセスキーを外部へ持ち出そうとしました。Terraform 設定ファイルへのバックドア設置を試みましたが、ブランチ保護機能によって阻止されました。

AI インフラの乗っ取り：盗まれたクラウドキーを用いて、攻撃者は被害者の AI エンドポイントを事後侵害インフラとして転用し、自社の計算リソースを悪用して将来の攻撃を継続しました。

図 1 は、AI が主導する侵入ワークフローを示しています。

図 1. AI が主導する侵入ワークフロー。攻撃者は目標を設定し、重要な判断を下します。専門的なエージェントが実行を行い、結果を共有しながらリアルタイムで適応していきます。

統一脅威フレームワークのマッピング

例として、以下の表 1 では、MITRE ATT&CK および ATLAS フレームワークに対して使用された一部の手法をマッピングしています：

表 1. 攻撃者が使用した主要な MITRE ATT&CK および MITRE ATLAS の手口

教訓：エージェント型攻撃への対応

今回のインシデントは、最先端の AI エージェントを効果的に活用する術を知った攻撃者が、いかにして攻撃のペースを劇的に加速させ得るかを浮き彫りにしました。今後、攻撃者はツールセットに AI エージェントを組み込むケースがさらに増えると予測されます。組織は以下の点に留意し、エージェント型攻撃への対策を講じるべきです。

• AI エージェントにより、攻撃フロー内の各ステップ間の時間が短縮される: 今回の攻撃で使用された AI エージェントは、生のツール出力を解析して即座に次のアクションに移るよう設計されており、全体の攻撃フローを加速させています。

• AI エージェントには特有の痕跡が残る: 構造化された Markdown の使用や Python キャッシュ、ペアになったアセットフォルダといった指標を検知することで、防御側はエージェント型攻撃を特定できます。

• 攻撃者は AI を活用して環境全体に冗長な永続化（パーシステンス）を確立できる: 今回のインシデントでは、攻撃者は AI エージェントを用いて、SSH キー、サーバーレス関数、コンテナの再起動ポリシー、クラウド ID、CI/CD パイプラインなど across にまたがる重複する永続化を効率的に構築しました。AI エージェントを利用すれば、攻撃者はこれらのポートフォリオ全体を並行して維持・テストしやすくなります。

• 攻撃者は組織が持つ AI ツールを侵害後のインフラとして悪用できる: 攻撃者はエンタープライズ向け AI サービスを乗っ取り、自らの攻撃支援に利用できます。これにより、脅威アクターはオーケストレーションのトラフィックを通常のトラフィックの中に隠蔽でき、また金銭的コストを被害者に転嫁することが可能になります。

マシンスピードの攻撃への対抗策

自動化されたエージェントループに対する防御には、AI を駆使した攻撃と同じ速度と適応力を持つ必要があります。

• 同期された封じ込めを実行する: 認証情報の失効、OAuth セッションの終了、CI/CD パイプラインの凍結、すべての運用平面におけるクラウドアカウントの隔離を同時に実行する自動化プレイブックを展開します。

• AI を中核インフラとして管理する: すべてのモデルエンドポイント、API キー、Model Context Protocol (MCP) ゲートウェイ、および AI ツール連携を把握し、厳格なレート制限、最小権限ポリシー、診断ログの適用を行います。

• 行動ループを検知する: バースト状の API リクエスト、急激な 401/200 の HTTP ステータス遷移、並列認証、予期しないアイデンティティからの突然のモデル使用など、運用上のループを探します。

• DevOps パイプラインを厳格化する: インフラストラクチャ・アズ・コードリポジトリに対して、必須の複数人によるコードレビューと変更不可なブランチ保護を適用し、自動化されたバックドア注入を防ぎます。

Unit 42 が AI を駆使した脅威から防御する方法については、Unit 42 Frontier AI Defense をご覧ください。

*2026 年 9 月 3 日午前 5:25 (太平洋時間) に更新：攻撃がランサムウェアではなく侵入であったことを明確化しました。*

*2026 年 9 月 4 日午前 6:42 (太平洋時間) に更新：若干の文章修正を行いました。*