タイ財務省へのサイバー攻撃でAIエージェント「Hermes」悪用が発覚、承認不要の「YOLOモード」で内部探索を自動化

要点

• タイ財務省のシステムへのサイバー攻撃で、オープンソースのAIアシスタント「Hermes」が自律動作するツールとして悪用された。

• 攻撃者は実行前の承認を不要にする「YOLOモード」を使用し、特権昇格スキャンや内部探索などの反復的な調査作業を自動化していた。

• 脅威インテリジェンス企業Hunt.ioなどが、攻撃者の管理するサーバー上に放置されたログやツール群を発見したことで実態が判明した。

• AIエージェントは標的の選定や未知の脆弱性の発見を行ったわけではなく、人間が用意した侵入経路や事前情報をもとに動作していた。

• タイの大蔵省（財務省）を標的としたサイバー攻撃において、オープンソースの人工知能（AI）アシスタントを自律的に動作させ、侵入後の調査活動であるポストエクスプロイテーション（侵入後にシステム内部を探索し、攻撃基盤を確立する活動）を自動化する手口が使用されていたことが明らかになった。セキュリティ企業Hunt.ioらが、攻撃者のサーバー上に放置されたログや585個のファイル、約470メガバイト（MB）の攻撃ツール群を発見し、2026年7月24日に報じられた。今回の攻撃では、AIに事前の実行確認を求めずにコマンドを実行させる設定が使用されており、人間が介入しない自動攻撃の実態が浮き彫りになっている。

• 攻撃者は、レンタルサーバー上にNous Researchが開発したオープンソース of AIアシスタント「Hermes（ヘルメス）」を配置し、タイ財務省のネットワークへ差し向けた。Hermesは通常、メール管理やチャットツールを介した指示実行などの日常業務を支援するツールで、ツール自体に脆弱性などの問題はない。しかし攻撃者は、危険なコマンドの実行前にユーザーの承認を求める機能を無効化する「YOLO（ヨーロー）モード」（AIの確認を一切省いてコマンドを強制実行するモード）を有効にして動作させていた。

• YOLOモードは起動時のフラグや環境変数の設定で有効化でき、AIエージェントは人間への確認なしにコマンドを自動実行できるようになる。Nous Researchは設定ガイドで「信頼されたサンドボックス（外部から隔離された安全な仮想環境）内でのみ使用すること」と警告しているが、システム全体を破壊するようなコマンドを防ぐ「ハードライン・ブロックリスト（厳格な実行禁止リスト）」はYOLOモード中も機能し続けるという。

• 今回の攻撃では、人間（攻撃者）とAIエージェントの明確な役割分担が行われていた。攻撃者はAIを動作させる前にすでに侵入を完了しており、回収された痕跡からは、財務省のサーバー上に仕掛けられた隠しWebシェル（サーバーを遠隔操作するための不正プログラム）や、内部のHadoop（大量のデータを分散処理するためのソフトウェア）システム向けのスクリプト、直書きされた盗難パスワードが発見されている。パスワードリストは同省の部署の略称を組み合わせたもので、攻撃プログラムにも組織内ネットワークであるイントラネットのパスが直接埋め込まれており、標的の事前知識が必要な部分は人間が準備していた。

• 一方で、AIエージェントは「スキャンを実行し、結果から次の調査対象を判断して再スキャンする」という反復的な探索プロセスを担当した。AI自身が未知の脆弱性を発見したわけではなく、実行コマンドもLinuxの特権昇格（一般利用者が管理者権限を不正に取得すること）を調べる標準ツール「LinPEAS」の実行など人間と同じ内容だったが、実行のたびに人間に承認を求める必要がなかった。

• AIのログには、財務省事務次官室のWebサーバーにあるルートディレクトリを探索する記録があり、ここには2012年以降の職員の業績評価や人事記録などのオフィス文書が格納され、AIがそれらをスキャンした形跡があった。ただし、ログからはこれらの重要ファイルが外部へ送信された形跡は確認されていない。

• この攻撃で用いられたツール群には、初期設定でパスワード不要のHadoop接続を悪用するスクリプトや、2026年に公開されたLinuxカーネル（OSの核心部となる基本ソフトウェア）の4つの脆弱性（CVE-2026-31431、CVE-2026-43284、CVE-2026-43500、CVE-2026-43503）を狙うカスタマイズされた「linpeas.sh」が含まれていた。これらはローカルユーザーに管理者権限を与える脆弱性だが、実際のログからは、同省のサーバーに対してこれらの脆弱性を悪用したコードが実行された証拠は見つかっていない。

• 本事例は従来のAI攻撃と異なり、防ぐのが困難だという。2025年11月に報告された開発用AI「Claude Code」の悪用事例では、攻撃者がAIを騙す必要があり、提供元がアカウントを停止（BAN）して攻撃を防ぐことができた。しかしHermesはオープンソースであり、攻撃者が管理する独自のサーバー上で動作するため、提供元が行動を監視することもアカウントを閉鎖することもできない。

• 本件は2026年7月15日にタイの国家CERT（コンピューターのセキュリティインシデントに対応する政府機関）などに通知されたが、7月24日時点で公式発表は行われていない。