自律型AIエージェントによる攻撃が猛威、わずか6時間で数千件の認証情報を窃取

要点

• 金銭目的のサイバー攻撃グループが自律型マルチエージェント技術を悪用し、6時間足らずで数千件規模の認証情報を窃取した。

• Googleの脅威分析部門（GTIG）の調査により、攻撃者によるAI利用がプロンプト入力から自律的なエージェント連携へと進化している実態が判明した。

• 脅威グループ「TeamPCP」が、PyPIやnpmなどの公開リポジトリ経由でAI開発環境やCI/CDパイプラインを標的とするマルウェアを拡散させている。

• 侵害したクラウド環境での独自LLM展開やGoogle製AIへの蒸留攻撃、さらにGeminiを悪用した侵入テストツールの自動開発など、多様な悪用手口が確認された。

• 米Googleの脅威分析部門「Google Threat Intelligence Group（GTIG）」は2026年9月8日、サイバー攻撃者による人工知能（AI）悪用の最新動向をまとめた調査レポートを公表した。金銭目的のハッカー集団が自律型のマルチエージェント（複数のAIが自律的に協調動作する仕組み）攻撃フレームワークを駆使し、6時間足らずの間に数千件に及ぶ認証情報を窃取するなど、AIを活用した攻撃の自動化と高速化が本格化していることが明らかになった。

防御側の対応速度を上回る自律型攻撃の台頭

GTIGの報告によると、医療、政府機関、メディアなど幅広い分野において、組織が保有する独自のAIモデルやクラウド環境が標的となっている。攻撃者はAPI認証情報（各種サービスやプログラムを連携・認証するための秘密鍵）を窃取した上で、被害組織のクラウド環境を不正に利用し、無許可で独自のAIワークロードを実行させているという。

GTIGのチーフアナリストを務めるジョン・ハルトクイスト（John Hultquist）氏は、現時点ですべての脅威アクターが何らかの形でAIを活用し、その恩恵を受けていると想定できると指摘している。従来の脆弱性をめぐる懸念に加え、自律的に判断・動作するエージェント型（Agentic）AIが悪用されることで、攻撃の規模とスピードが格段に増大しているという。ハルトクイスト氏は、わずか6時間で大規模な悪用キャンペーンを完結させた事例を引き合いに出し、サイバー犯罪者は今後、防御側の人間やシステムが検知・対応する速度を上回る攻撃手法へと急速にシフトしていくだろうと説明している。

ソフトウェアサプライチェーンとAI開発環境への侵入

AI支援によるコーディングツールの普及はソフトウェア開発を高速化させた一方で、開発者自身やAIコーディングアシスタント、LLM（大規模言語モデル）のセキュリティスキャンツールを標的とした攻撃リスクを高めている。

この動きを主導しているのが、「TeamPCP」（別名：Altered Spider、UNC6780）と呼ばれる金銭目的の脅威グループだ。同グループは、Pythonのパッケージリポジトリ「PyPI」、JavaScriptの「npm」、コンテナイメージ共有サイト「Docker Hub」といったオープンソースのサプライチェーン（ソフトウェアの供給網）に対して大規模な攻撃を展開している。

TeamPCPは初期侵入を果たした後、認証情報窃盗ツール（インフォスティーラー）を感染端末に展開する。2026年3月から4月にかけては「SANDCLOCK」と呼ばれるPythonベースのマルウェアが用いられていた。SANDCLOCKは「CanisterWorm」の一部として知られ、LinuxやKubernetes環境で動作し、コンテナからホスト環境へ脱出するコンテナエスケープ機能や、クラウド認証情報、暗号資産（仮想通貨）ウォレットを窃取する機能を備えていた。

一方、2026年4月以降はその後継となる「DUSTMAKER」への移行が確認されている。DUSTMAKERは、ソフトウェアのビルドやテストを自動化するCI/CDパイプライン向けに最適化されたクロスプラットフォームのJavaScript製ペイロード（攻撃プログラム本体）だ。コンテナエスケープ機能は省かれたものの、恐喝活動を目的とした認証情報の窃取に特化している。特にDUSTMAKER独自の機能として、AIアシスタントの作業空間（ワークスペース）の汚染や、セキュリティ検知を回避するためのプロンプトインジェクション（AIへの悪意ある指示入力による動作改変）の悪用が組み込まれており、開発現場のAI環境そのものを狙い撃ちにする手口へと進化している。窃取された情報は、直接販売されるか、ランサムウェア組織やデータ窃盗恐喝グループとの提携を通じて現金化されているという。

独自AIモデルの不正流用と知的財産を巡る攻防

レポートでは、攻撃者が標的組織の独自AI資産や研究成果を不正に取得・悪用している複数の事例も挙げられている。

中国に関連するとみられる脅威グループ「UNC6508」は、企業のクラウド環境に侵入した際、商用の先端モデルを利用する代わりに、公開されているオープンウェイトモデル（重みデータが一般公開されているモデル）を用いたローカルLLMインフラを構築・展開していた疑いが持たれている。これにより、AIサービス提供元による監視や検知を回避していたとみられる。

また、恐喝を目的として企業独自のAIモデル、スキル定義、プロンプト、ソースコード、関連研究データを直接盗み出す事例や、Googleが提供するAIモデルの視覚・音声理解、画像生成、動画生成機能を標的とした「蒸留攻撃（既存の高性能モデルの出力を学習データとして利用し、その機能を模倣・再現する手法）」を仕掛ける動きも確認された。

Geminiを悪用した侵入テスト自動化ツールの開発

さらに、マルウェアや攻撃ツールの開発プロセスそのものにエージェント型AIを組み込む試みも進んでいる。中国系のサイバースパイグループは、Googleの「Gemini」を利用して、自動化されたペネトレーションテスト（システムの安全性を検証するために擬似攻撃を行う侵入テスト）フレームワークの設計と開発を行っていたことが確認された。

このグループは、攻撃対象の状態を観察（Observe）し、次の行動を推論（Reason）した上で、予測が困難な環境下でも自律的にタスクを実行（Execute）できるエージェント構造の構築を目指していた。具体的には、初期侵入に必要なポートスキャン（通信ポートの開放状況確認）や稼働サービスの自動判別といった探索タスクをエージェントに自律実行させる計画だったとされ、攻撃プロセスの完全自動化に向けた研究が進められていることが示されている。