自律型AIエージェントによる企業サイト侵入が判明、1200件超を標的に低コストで実行か

要点

• 中国語話者の攻撃者がオープンソースのAIツール「Cairn」を悪用し、1200件以上の企業Webサイトへの自律的な侵入を試みていたことが判明した。

• セキュリティ企業NorForgeのリサーチャーが、公開状態になっていた管理パネルを発見したことで、リアルタイムでの侵入活動が特定された。

• 侵入の成功率は約10%で、1件の成功にかかったトークン費用は約50ドル、事前の指示も100文字未満と低コストかつ半自動で実行されていた。

• 米農機大手ディアや家電大手シャークニンジャなど100社以上が影響を受け、日本、米国、オーストラリアのECや決済システムが標的となっていた。

• オープンソースのAIエージェントツールが悪用され、Webサイトへの侵入をほぼ自動で実行するサイバー攻撃が行われていたことが、セキュリティ企業NorForgeの報告とロイターの報道により明らかになった。攻撃者はわずか100文字足らずの指示を与えるだけで、AIエージェントが自律的に脆弱性を探索し、100社を超える企業サイトへの侵入に到達していたという。攻撃者が管理パネルをインターネット上に露出させていたことから、リアルタイムで手口の詳細が確認された。

露出した管理パネルから発覚した「Cairn」悪用の実態

NorForgeのリサーチャーであるスノッレ・ファーガーランド（Snorre Fagerland）氏は、オープンソースのAIツール「Cairn」の露出インスタンスをネット上でスキャンする調査を行う中で、2026年10月2日頃から悪用されていた約2ダースのインスタンスを発見した。管理パネルが認証なしで公開されていたため、攻撃者の作業をリアルタイムで閲覧できたという。

Cairnは本来、許可を得たペネトレーションテスト（システムの脆弱性を検証するために攻撃を模倣する侵入テスト）向けに開発された正規のツールだ。目標を設定するとエージェントが自律的に作業を進め、共有ボード上で人間がヒントを追加できる仕様となっている。今回はこのツールが無許可でオンラインショップ等に向けられていた。Cairnの作者「le1xia0」氏は、ハッキング攻撃用には設計しておらず有害な利用は意図していないとロイターに述べている。

100文字足らずの指示と50ドルの費用で自律侵入

今回の攻撃は、人間の関与の少なさとコストの低さが際立っている。ロイターによると、中国語話者のオペレーターは希望する戦術を100文字未満の中国語で大まかに指示しただけで、エージェントが自律的に侵入を進めたという。

侵入成功にかかった時間は平均して23時間弱で、ツール全体の成功率は約10%だった（NorForgeは目的が異なるため単純比較はできないと注記している）。また、失敗した試行を含むタスクあたりの平均コストは約5ドルで、キャンペーン全体で使われたAPIトークン費用は約5,000ドルだった。侵入成功1件あたりに換算すると約50ドルという極めて安価な水準で実行されていた。

日本や米国を狙い永続的なアクセス権を確保

NorForgeは露出パネルを3つのクラスターに分類し、うち20以上が悪質と判断した。最も活発な中国語クラスター「AIA0001」では、14のパネルが1,100件以上の攻撃プロジェクトに紐付いていた。狙いは米国、日本、オーストラリアのECサイトや決済システムであり、将来の悪用を見据えて永続的なアクセス権を確保することだったという。

典型的な手口は、コード実行手段を特定させた後に「Webシェルアップローダー（サーバーへ不正にファイルを保存させる簡易プログラム）」を設置させるものだった。NorForgeは大手部品ベンダーでWebシェルが稼働していることや、大手米小売業者でエージェントが脆弱なサーバーを選ぶCookie設定を特定したことを確認した。ある事例では、セッションを一時保管する「memcached」への不正書き込みや古い「Zend Framework」の弱点を組み合わせた攻撃チェーンが記録されていた。

大手100社以上が影響、被害の全容は調査中

ロイターが攻撃者の記録を精査したところ、エージェントが試行したサイトは1,200件を超え、被害企業は100社以上に達していた。農機大手のディア（Deere）、家電のシャークニンジャ（SharkNinja）、エンジンのカミンズ（Cummins）のほか、中小企業2社も侵害を認めている。

各社は被害が限定的であると説明している。ディアは問題を修正し機密情報へのアクセス兆候はないとし、シャークニンジャは独立したサポートサイトへの攻撃で脅威を封じ込めたとした。カミンズはベンダー運営サイトへの攻撃報告を調査中だという。なお、一連の攻撃によって実際にデータが外部へ流出したかどうかは現時点で明らかになっていない。

補足

脆弱性診断を目的に開発されたAIエージェントが、攻撃者によってそのまま安価な侵入ツールとして悪用される現実が確認された。