AIサイバー攻撃：AIエージェントが100社以上に侵入

10月19日、ロイターのRaphael Satter記者が、中国語を話すハッカーが数週間のうちにDeere、SharkNinja、Cumminsなど100社以上のウェブサイトに侵入した経緯を報じました。同じ日、NorForgeのSnorre Fagerland氏が、このAIサイバー攻撃の土台となったCairnプラットフォームに関するレポートを公開しました。作業のほぼすべてを担ったのは人間ではなく、AIエージェントでした。

このAIサイバー攻撃はどのように行われたのか？

Cairnはオープンソースのプラットフォームで、AIエージェントに目標とタスクを与えると、エージェントが一歩ずつそこへ向かって進みます。タスクはそれぞれ独立したプロジェクトで、エージェントは発見した内容を共有ボードに書き込み、オペレーターはヒントを追加できます。Fagerland氏がこの件に気づいたのは、インターネット上で公開状態のCairnパネルをスキャンしていたときでした。オペレーターは単にパネルを保護していなかったのです（レポートには「securing their own infrastructure does not appear to be among their strengths」とだけ書かれています）。

NorForgeのレポートによると：

1. 20以上のパネルが犯罪目的で使われていた可能性が高く、研究者はそれらを3つのグループに分けました。
2. 最大のグループは中国語圏で、14のパネルと、米国、カナダ、日本、オーストラリアのECサイトを狙った1100件以上の攻撃プロジェクトがありました。エージェントの任務は、リモートでコードを実行する方法を見つけ、さらにファイルをアップロードできるファイルをサーバーに残すこと、つまり永続的なアクセスを確保することでした。
3. 2つ目のグループは英語圏で、「fetch credit cards」や「fetch crypto」といったタスクを与えられていました。
4. 侵入成功までにかかった時間は平均で23時間弱、5日以上続いたプロジェクトもありました。
5. 平均成功率は**約10%**でした。

ロイターによると、先週末までにエージェントが侵入を試みたサイトは1200を超えています。

コストはいくらで、どのモデルが使われたのか？

ここが一番興味深いところです。Fagerland氏の推計では、キャンペーン全体で使われたトークンは約5000ドル分、つまり侵入成功1件あたり約50ドルです。レポートでは、タスク1件あたりの平均コスト（失敗したものを含む）は約5ドルとされていますが、不確実性は「considerable」だと断っています。

最大グループのタスクはclaudecode_deepseek-v4.1-flashという名前のワーカーで実行されていました。NorForgeによると、これは安価なDeepSeek V4.1 Flashモデルで動くClaude Codeのエージェントハーネスを意味している可能性があります。2つ目のグループはpi_openrouter_deepseekというワーカーを使っており、おそらくOpenRouter経由でDeepSeekのモデルを使うPiフレームワークです。これは名前からの解釈であって、AnthropicやDeepSeekが認めたものではありません。どちらの企業もロイターの記事でコメントしていません。

興味深いことに、パネルから漏れていたのは攻撃対象だけではありません。パスワード、APIキーなどの認証情報といった数百件のシークレットも含まれていました。Trufflehogで確認したところ、そのうち11%はまだ有効でした。公開されたパネルには、正規のセキュリティテスト会社のプロジェクトも、その顧客のデータと一緒に置かれていました。

被害を受けた企業は何と言っているのか？

被害企業を特定したのはロイターで、NorForgeのレポートではありません。各社の声明によると：

1. Deereは「necessary remediation actions」を講じ、機密データへのアクセスの兆候はないとしています。
2. SharkNinjaで攻撃されたのは製品サポート情報の独立したサイトで、脅威はすでに封じ込められました。
3. Cumminsは、外部ベンダーが運営するサイトへの攻撃の可能性について報告を調査中です。

ロイターは、どれだけのデータが流出したのか（そもそも流出したのか）を特定できませんでした。Xでle1xia0と名乗るCairnの作者は、このプラットフォームは「was not designed for hacking attacks」と書き、悪用は自分の意図ではなかったとしています。

なぜ話題になっているのか？

AIエージェントが人間の監督をほとんど受けずに実在の企業に侵入している、という新たな証拠だからです。Fagerland氏はロイターに対し、こうしたエージェントには少なくともある程度の管理が必要だと思っていたが、技術はもうその段階を過ぎていると語りました。彼の言葉は短く、「It’s not script kiddie stuff」、そして「The development in this field is astounding」です。

背景も気がかりです。ロイターの記事によると、8月にはGambit SecurityがAIツールの助けを借りて7つの組織に侵入したグループについて報告し、9月には25社と少なくとも60万件のクレジットカード記録に及んだエージェントによる攻撃キャンペーンについて報告しています。Bitsightによれば、犯罪者のフォーラムでも自律型エージェントの話題が増えています。

数日前にOpenCodeの情報漏洩について書きました。そのときツールの共同開発者は、これを「whole new world with ai powered hacking」と呼んでいました。どうやら誇張ではなかったようです :(

FAQ

企業に侵入したのはClaude Codeだったのか？

確かなことはわかりません。ワーカーの名前はDeepSeek V4.1 Flashモデルを使ったClaude Codeハーネスを示唆していますが、それはNorForgeの解釈にすぎません。モデル自体はDeepSeekで、Claude Codeはツールを呼び出す（もう一つの）レイヤーにあたります。

Cairnとは何か？

1つの目標に向けて動くAIエージェントを、発見内容の共有ボードとともに調整するオープンソースのプラットフォームです。作者によればハッキング目的で作られたものではありませんが、NorForgeのレポートでははっきりと「AI-powered hacking system」と呼ばれています。

AIサイバー攻撃のコストはどれくらいか？

今回のキャンペーンでは、Fagerland氏の推計で侵入成功1件あたりトークン代約50ドル、失敗したものも含めタスク1件あたり約5ドルです。Fagerland氏自身、これは不確実性の大きい推計だと強調しています。