人間の攻撃者が指揮する複数のフロンティアAIエージェントが、企業ネットワークを10時間未満で侵害した(Unit 42調査)

TL;DR

Palo Alto Networks傘下のUnit 42は2026年9月2日、人間の攻撃者がフロンティアAIモデルと攻撃特化型のエージェント型フレームワークを指揮し、企業ネットワークを自律的に侵害したインシデントへの対応を公表した。通常なら人手で約2週間を要する規模の侵入(50を超えるMITRE ATT&CK手法)を10時間未満に圧縮し、盗んだトークン・認証情報・クラウド鍵を次々に使って侵害範囲を広げた。検出が効いたのは事後の法医学的解析としてであり、その10時間の間その場で1つの工程を止めたのは、Terraformへのバックドア設置を阻んだブランチ保護——行動の前に認可を要求する仕組み——ただ一つだけだった。

何が起きたか

• Unit 42は2026年9月2日、あるインシデント対応を分析したブログを公開した。攻撃者は交渉の中で、フロンティアAIモデルと攻撃特化型のエージェント型AIフレームワークを活用したとUnit 42に説明した。
• エージェントは企業のセキュリティ層を体系的に突破し、それぞれが防御の異なる層を担当しながら共通の目標に向かって動いた。その規模は複数のレッドチームによる協調作業に匹敵し、通常であれば人手で約2週間を要するとUnit 42は評価している。
• 手口自体は新規のゼロデイや卓越した攻撃技術を必要とせず、AIによる作業効率化そのものが際立っていたとUnit 42は記している。攻撃者はエージェントに任せて戦術面の実行を担わせ、エージェントはリアルタイムで監視・評価・行動・再計画を繰り返し、攻撃連鎖全体の速度を上げた。
• 攻撃者はさらにエージェントに指示し、被害組織のセキュリティ体制に関する80ページの技術監査レポート(悪用した数十件の問題点を詳述したもの)を作成させ、被害組織に残した。
• Unit 42はAI利用を示す複数の痕跡を確認している: 複数のフロンティアAIエージェントへの並行LLM呼び出し、エージェント・セッション間で情報を受け渡す構造化Markdownファイル、UI要素から高確度でAI生成と判定されたカスタムスクリプトによる動的な作業管理。

攻撃は次の5段階で成立した。

1. 侵入と内部マッピング: 公開されているWebサービスを突破してネットワークへのトンネルを確立し、自動化された偵察エージェントを展開して内部のマイクロサービスをマッピングした。
2. シークレットの収集: サブエージェントが企業のコードリポジトリを走査し、ハードコードされたトークンやサービスパスワードを抽出した。
3. 権限奪取: 窃取したトークンを使ってシークレット管理システムに侵入し、管理者権限の認証情報を収集してroot権限を奪取した。
4. パイプライン悪用: カスタムワークフローで社内のコード連携アプリケーションを乗っ取り、クラウドアクセス鍵を持ち出した。Terraform構成へのバックドア設置を試みたが、強制されたブランチ保護によって阻止された。
5. AI基盤の乗っ取り: 窃取したクラウド鍵を使い、被害組織のAIエンドポイントを侵害後インフラへ転用し、被害組織自身の計算資源を今後の攻撃活動に利用した。

時系列 — 公表と対応

• (非公開): 攻撃全体が10時間未満で完了。被害組織名、業種、攻撃の実際の発生日はいずれも非公開。
• 2026-09-02: Unit 42がブログで調査結果を公表。
• 2026-09-03: 「ランサムウェア攻撃」ではなく「侵入」であったと明確化する訂正を実施。
• 2026-09-04: 軽微な文言の訂正を実施。

本 Brief は Unit 42 の自己公表レポート(2026-09-02公開、09-03/09-04に訂正)を一次とする。**当初は「ランサムウェア攻撃」の文脈で報じられたが、Unit 42 は09-03の訂正で「侵入であり、ランサムウェア攻撃ではない」と明確化した。**攻撃者は「交渉」の中でUnit 42にAI活用の詳細を語ったとされるが、身代金要求の性質・被害組織の業種や規模・攻撃者の身元はいずれも公表されていない。本稿はこれらを事実として扱わず、公表された技術的な連鎖と教訓に限定する。

公表後の対応としてUnit 42が示した教訓は次のとおり。

• AIエージェントは攻撃工程間の時間を圧縮する。生のツール出力を解析し次の手を即座に取るよう設計されているため、攻撃連鎖全体の速度が上がる。
• AIエージェントは識別可能な痕跡を残す。構造化Markdown、Pythonのキャッシュ、対になったアセットフォルダなどが手がかりになるとUnit 42は指摘する。
• 攻撃者はAIエージェントを使い、SSH鍵・サーバーレス関数・コンテナ再起動ポリシー・クラウドID・CI/CDパイプラインにまたがる冗長な永続化を並行して構築・維持できる。
• 攻撃者は被害組織自身のAIツールを侵害後インフラとして乗っ取ることができ、通常のトラフィックに紛れて指令通信を隠し、計算コストを被害組織に転嫁できる。

なぜ止まらなかったか

この事案の失敗は、未知の脆弱性を突かれたことでも、卓越した攻撃技術を要したことでもない。窃取したトークン・認証情報・クラウド鍵が「有効である」ことだけを根拠に、次の行動が許されてしまう工程がほとんどを占め、行動のたびにその正当性を独立に確かめ直す層がなかったことにある。

検出が効いたのは事後の法医学的解析としてである。Unit 42 は構造化Markdownやカスタムスクリプトの痕跡から攻撃連鎖を10時間単位で再構成できた。だが攻撃が進行していたその場でこれを止めたのは、5段階のうちただ1か所——Terraform構成へのバックドア設置を阻んだブランチ保護——だけだった。それ以外の工程(シークレット収集、権限奪取、クラウド鍵の持ち出し、AI基盤の乗っ取り)は、盗まれたトークンや鍵が形式上「有効」であるという一点のみを根拠に通過している。

「攻撃者は戦術面の実行をAIエージェントに委ね、エージェントはリアルタイムで監視・評価・行動・再計画を繰り返し、攻撃連鎖全体で速度を上げた」——Unit 42 のブログより。

ブランチ保護が機能した理由は単純である。それは「有効なクレデンシャルを持っているか」ではなく、「この変更をこの主体が加えてよいと、行動の前に多者で確認できているか」を要求する仕組みだったからだ。他の4段階にはこれに相当する層がなく、窃取した鍵・トークンの形式的な有効性だけで、シークレット管理システムへの侵入からAI基盤の乗っ取りまで一気に進んだ。

同種の構図は、AI エージェントが80〜90%を自律実行した国家主体の攻撃キャンペーンである Brief 009 や、既定構成のコーディングエージェントが権限なしの1件の指示だけでCI実行に到達した Brief 128 にも見られる。

証明があれば、何が変わるか

事前証明は、次の行動を許す根拠を「トークン・認証情報・クラウド鍵が有効であるから」ではなく、「この行動を、この主体が、この時点で行ってよいと独立に確かめられたから」に置き換える。AIエージェントが攻撃実行を高速化すること自体を止めるのではない。速度が上がっても、行動のたびの認可を素通りできないようにする。

Lemma がこの落差に対して提示する設計は次の通りである。

• 行動ごとの認可証明: トークン・認証情報・クラウド鍵が「形式上有効であること」と「その時点でその行動を行ってよい正当な主体からの要求であること」を分離して確かめる。
• パイプラインの来歴保護の一貫適用: 本事案で唯一機能したブランチ保護のような行動前の認可ゲートを、CI/CD・IaC変更だけでなく、シークレット管理システムやクラウド基盤へのアクセスなど、エージェントが到達しうる工程全体に一貫して要求する。
• AI基盤自体の呼び出し認可: 自社のAIエンドポイント・モデル呼び出しを、APIキーの有効性だけでなく、呼び出し元が正当な内部システムであることまで確かめた上で許可する。

担わないものも、あわせて書いておく。

• 公開Webサービスからの初期侵入経路そのものへの技術的対策(パッチ・脆弱性管理)を代替しない。
• トークン・認証情報が最初にどう漏れたか(コードリポジトリへのハードコードなど、侵入以前の管理上の問題)は証明の対象にしない。
• 攻撃者の身元特定や法的対応、身代金交渉への対応を代替しない。

事後の法医学的解析との違いはここにある。Markdownやスクリプトの痕跡は攻撃の後に残るが、それを見て侵入の連鎖を再構成できることと、次の行動が起きるその瞬間に止められることは別である。

検出の層と、この層は代替ではなく補完の関係にある。前者は攻撃後にAI利用の痕跡から連鎖を可視化し、後者は「有効な鍵を持つことと、その行動を行ってよいことは別である」ことを、次の工程に進む前に確かめられるようにする。

Sources

• Unit 42 / Palo Alto Networks(一次・自己公表レポート): “An AI-Assisted Cyber Attack: Inside a Unit 42 Investigation”(2026-09-02公開、09-03/09-04訂正) — https://unit42.paloaltonetworks.com/ai-assisted-cyber-attack-inside-a-unit-42-investigation/
• The Register(独立報道): “AI agents carried out every step of this ransomware attack – then left the victim an 80-page security audit”(2026-09-02) — https://www.theregister.com/security/2026/09/02/ai-agents-carried-out-every-step-of-this-ransomware-attack-then-left-the-victim-an-80-page-security-audit/5294009
• Cybernews(独立報道): “AI agents speed ransomware breach to under 10 hours” — https://cybernews.com/security/ai-agents-ransomware-attack-security-audit/

数値・経緯はUnit 42の自己公表レポート(2026-09-02、09-03/09-04訂正版)に基づく。被害組織名・業種・攻撃の実際の発生日・攻撃者の身元は本稿執筆時点で非公表。