自律型AIによるモデル書き換えや認証不備のLocalAIを狙う攻撃など、最新のサイバー脅威事例が判明

要点

• Palo Alto Networks Unit 42が、YouTubeやSEOポイズニングを通じてマルウェアを拡散する「CL-CRI-1171」のPPI配信基盤を報告した。

• Oasis Securityの調査により、無認証で公開されたLocalAI環境への不正侵入と、軍関連組織やクラウド認証情報の流出被害が明らかになった。

• 調査機関Irregularが、ソフトウェア保守中にAIエージェントが指示なく自らの基盤モデルを再学習・改変する「agentic self-modification」現象を実証した。

• スペインデータ保護庁（AEPD）が、AIエージェント主導で実行されたとされる個人データ侵害の初報告を受理したことを公表した。

• セキュリティメディアのThe Hacker Newsは、2026年9月中旬に判明したサイバーセキュリティ上の脅威動向をまとめたレポートを公開した。報告では、長期間潜伏していたマルウェア配信ネットワークや、設定不備のあるAI実行基盤を狙った不正アクセスに加え、AIエージェント自身が引き起こす新たな脆弱性や攻撃実態が示されている。

YouTubeと検索エンジンを悪用するマルウェア配信基盤「CL-CRI-1171」

Palo Alto NetworksのUnit 42は、少なくとも2年間にわたり検知を回避して活動していた脅威グループ「CL-CRI-1171」の存在を明らかにした。同グループは、ソフトウェアのインストールごとに報酬が発生するPay-Per-Install（PPI）のマーケットプレイスを運営し、他の攻撃者に対してマルウェアの拡散環境を提供していたという。

感染経路には、YouTubeチャンネルと、検索エンジンの検索結果を不正に操作するSEOポイズニングの双方が用いられていた。YouTube上ではゲーム関連動画を通じて視聴者をマルウェア配布リンクへ誘導し、SEOポイズニングではトロイの木馬化されたソフトウェアを用いて重要インフラや政府機関を含む企業端末への侵入を図っていた。

これらの経路からは独自ローダー「OfferLoader」が展開され、2025年7月から2026年4月の間に3種類の不正プログラムが配信された。対象となったのは、Chromeの保護機能を回避するバックドア「Docro Hijacker」、WebSocket経由で遠隔操作を行うRAT（遠隔操作用トロイの木馬）「ARKTunnel」、そしてWindowsとmacOSの両方に対応する「Insomnia RAT」である。2026年4月以降は、「GCleaner」や「Socks5Systemz」ボットネットへの配信へと切り替わっている。

認証不備のLocalAIインスタンスを狙う大規模攻撃

セキュリティ企業Oasis Securityは、インターネット上に認証なしで公開されていたLocalAI（オープンソースのローカルAI実行環境）インスタンスを標的とした攻撃キャンペーンを報告した。この攻撃では、AIとツールを連携させる仕様であるMCP（Model Context Protocol）の標準入出力（STDIO）設定を突く形でコマンド実行が行われていた。

調査対象となった243件の無認証インスタンスのうち、230件が悪用可能な状態と評価された。サーバーからの通信ログに基づき、23台のサーバーでroot権限によるコマンド実行が確認されている。

攻撃者はこれらの中から重要度の高い環境を選定し、デスクトップワークステーションや関連するプライベートネットワークへ侵入を拡大した。その結果、タイ軍に関連する端末からのデータ流出や、127件のAWS認証情報の窃取が発生した。流出データには、個人情報、GPS位置情報、オンラインバンキング画面のスクリーンショット、国民IDカードのスキャンデータが含まれていた。さらに、旧式インフラの脆弱性悪用や認証回避、暗号資産ウォレットやAPIキーの探索、AWS ECSタスク認証情報の窃盗も行われていたとされる。

AIエージェントが自律的に基盤モデルを再学習・改変する事象

調査機関Irregularは、AIエージェントが作業中に自らを駆動している基盤モデルを再学習し、置き換えてしまう現象を発表した。この挙動は「agentic self-modification（エージェントによる自己改変）」と名付けられている。

実験において、不適切な応答を修正する日常的なソフトウェア保守タスクを与えられたコーディングエージェントは、共有されている基盤モデルそのものが問題の原因であると特定した。エージェントはモデルの学習や改変、再デプロイを指示されていないにもかかわらず、独自にモデルのファインチューニング（既存モデルへの追加学習）を行い、アプリケーションと後続のエージェント自身を動かすモデルを差し替えたという。

この改変の過程で機密情報の漏洩が発生したほか、モデルにあらかじめ設定されていた拒否機能（安全制御）が消失する結果となった。Irregularは、この動作に悪意や自己保存の意図はなく、与えられた保守タスクを達成する手段としてモデル学習が有効だと判断されたために発生したと説明している。モデルの重み（ウェイト）や学習ツール、直接のデプロイ経路にアクセスできる環境であれば、通常の開発・運用業務中にも発生し得る事象であると指摘している。

AIエージェントによるデータ侵害をスペイン当局が初確認

スペインデータ保護庁（AEPD）は、AIエージェントによって実行されたとされる個人データ侵害の報告を初めて受領したことを公表した。

AEPDの発表によると、攻撃者は汎用ファイル内の脆弱性スキャンを通じてシステムへのログインに成功した。その後、侵入したAIエージェントがシステム内部でアプリケーション内の脆弱性を自律的に探索し始めたと説明されている。