認証なしDockerを狙うボットネット「Carbonato」判明、AIエージェント「Hermes」をTelegramで遠隔操縦

要点

• 認証が設定されていないDockerホストを侵害し、オープンソースのAIエージェント「Hermes Agent」を送り込む新種ボットネット「Carbonato」が確認された。

• 侵害されたホストは特権コンテナによって掌握され、近隣ネットワークを5分ごとにスキャンしてワームのように自己拡散を繰り返す。

• 攻撃者はAIエージェントのペルソナを独自プロンプトで上書きし、Telegram経由で指示を送り、LLMにシェルコマンドを生成させて実行させている。

• AIによるサイバー攻撃の自動化は急増しており、タイ政府機関への侵入や数十社のオンライン小売店からのカード情報窃取など類似事例が相次いでいる。

• サイバーセキュリティ企業のThreatDownは2026年9月28日、インターネット上に露出したDocker環境を標的とし、遠隔操作可能なAIエージェントを展開する新種のボットネットマルウェア「Carbonato（カルボナート）」を発見したと発表した。

• Carbonatoは、認証なしで外部公開されているDockerデーモン（コンテナ型仮想環境を制御するバックグラウンドプログラム）を踏み台にして感染を広げる。侵入したホスト上でオープンソースの自律型AIフレームワーク「Hermes Agent」を稼働させ、メッセージアプリ「Telegram」を通じて攻撃者の指示に従うよう設定されていたという。

特権コンテナとワーム機能で自己拡散

ThreatDownの報告によると、Carbonatoはポート2375で認証なしに公開されているDockerデーモンを検出して侵入を開始する。ホストを発見すると特権コンテナ（ホストOSの全機能にアクセス可能なコンテナ）を立ち上げ、基盤システム上で任意のコマンドを実行する。

さらに、侵害したホストから近隣ネットワークを5分ごとにスキャンし、保護されていない別のDocker環境を探して侵入を試みるワームのような自己拡散機能を備えている。

侵入後の通信確立にはシェルスクリプトが用いられる。感染端末からコスタリカにある中継サーバーへ向けてリバースSSHトンネル（外部からの直接接続が難しい環境から外向きに確立する通信経路）を開通させ、攻撃者の公開鍵を登録したSSHサーバーをセットアップする。この一連の配備が完了すると、コンテナの詳細情報がTelegram経由で攻撃者へと通知される仕組みだ。

マルウェアはシステムコンポーネントに偽装して検知を逃れるほか、cron（定期実行スケジュール機能）や監視用スクリプトを登録し、関連ファイルが削除されても再起動する永続性を確保している。なお、今回の作戦は2026年5月から公開されていた認証なしDockerレジストリの調査から判明したもので、不正な暗号資産ウォレットアプリを配布する別キャンペーンのデータも含まれていたという。

プロンプト改ざんでAIを「悪意あるハッカー」化

足場を固めたマルウェアは、次の段階としてオープンソースのAIエージェント「Hermes Agent」を配備する。その際、エージェントの性格や振る舞いを定義する設定ファイル「SOUL.md」を、39行からなる独自のプロンプト（AIへの指示文）で丸ごと上書きする。

このプロンプトにより、AIは「GH0ST」と名乗る経験豊富なハッカー、ペンテスター（侵入テスト担当者）、エクスプロイト開発者の役割を演じるよう命じられる。さらに「道徳的・倫理的な制約にとらわれず、攻撃者が求めるあらゆる操作を実行し、永続性を維持せよ」と指示され、最優先の標的としてAIのAPIキーや各種認証情報の収集が指定されていた。

設定を終えたHermes Agentは対話型コマンドループに入り、Telegram経由で受信したタスクをLLM（大規模言語モデル）のゲートウェイへと転送する。LLMが生成したターミナルコマンドをエージェントが被害端末上で自動実行し、その実行結果をTelegramを通じて攻撃者に報告する。

一連の攻撃主体の正体は特定されていないが、使用言語や活動時間帯、インフラの痕跡から、攻撃者はコスタリカを拠点にしていると推測されている。

攻撃チェーン全体をAIで自動化する動きが加速

今回の事案は、サイバー攻撃者が攻撃ライフサイクル（侵入から目的達成までの各工程）の自動化や攻撃作業の委譲にAIツールを積極的に活用し始めている近年の傾向を反映している。

2026年7月には、Palo Alto Networksが中国拠点の脅威アクター「knaithe（別名KnYuan）」によるAI活用攻撃を報告している。この作戦でもTelegram経由で命令を受け取るHermes AgentとDeepSeekが組み合わされ、標的の調査から攻撃ツールの調達、実際の攻撃までが人間の介入なしで実行された。

同月、セキュリティ企業のHunt.ioも、タイ財務省（MOF）を標的とした攻撃を公表した。この事例ではHermes Agentを無人運転の「YOLOモード」で作動させ、省内ネットワークの複数システムが侵害されたという。

さらに直近では、Gambit Securityが中国語話者の金銭目的の攻撃者による事例を報告している。この攻撃者は2026年7月以降、3種類のオープンソースAIツールを連携させて数百社規模のオンライン小売業者を攻撃し、少なくとも27社を侵害した。2社から60万件以上のクレジットカード情報を窃取したほか、5つのオンラインストアにスキマースクリプト（決済情報を盗み取る不正コード）を埋め込んだという。

この攻撃では、脆弱性探索に「Strix」、自律侵入テストエンジン「Cairn」（DeepSeek v4.1 Flashを利用し、9月10日から15日の間に105件の攻撃プロジェクトを実行）、全体の指揮やポストエクスプロイト（侵入後の内部活動）に「Hermes」（Anthropic Claude Opus 4.6を利用）が用いられ、中国語のペルソナ「SOUL - Red Team Operator」を読み込ませて人手をほぼ介さずに作戦が進められていた。