イスラエルのサイバーセキュリティ企業Dreamの研究者らは、政府機関を標的とした、公に知られている限り初のほぼ自律型AIサイバー攻撃を記録したと発表した。7月初旬の4日間にわたり、オープンソースのAIフレームワークで構築されたマルチエージェントシステムが、台湾政府のシステムを侵害し、2500件以上の人事記録を窃取し、さらに自ら原子力安全機関、7社以上のエネルギー企業、政府の電子メールシステムへと活動を拡大した。
Dreamは8月12日に調査結果を公表した。Financial Timesがこの事件を最初に報じ、標的が台湾であると特定した。また、この事件を知る人物がその特定をThe Registerに確認した。
このシステムは、言語モデルに複数段階のタスクを実行させることを可能にする、無料で入手できる2つのオープンソースAIエージェントフレームワーク、HermesとOpenClawから構築された。攻撃キャンペーンは7月1日から7月4日にかけて12回の攻撃波で実行され、それぞれに独自の標的と手法が割り当てられた最大8体のサブエージェントが並行して展開された。
Dreamによると、この作戦を特異なものにしたのは、人間による直接の制御をほとんど必要としなかったことだ。フレームワークは学習サイクルを実行した。すなわち、システムが標的のインフラに適した手法を求めて脆弱性データベース、公開コードリポジトリ、セキュリティ研究資料を精査する自律セッションである。システムはベイズスコアリングを用いて14の並行攻撃チェーンをランク付けして優先順位を組み直し、各攻撃波の結果を次の波の計画に反映させた。ある手法が失敗すると、別のエージェントが新しい手法を探しに出た。研究者らによると、システムは自らのミスを検知して修正することもできたという。
Dreamが説明する技術的作業の内容は、系統立てられた侵入の様子を示している。エージェントは政府ポータルからJavaScriptを逆コンパイルし、OAuthクライアントID、APIエンドポイント、認証設定を抽出し、接続された21の政府システムをマッピングした。ある標的では、認証を必要としないものが多い36以上のAPIエンドポイントを発見し、その中にはユーザーデータベース全体をさらけ出していたシステムも含まれていた。また、資格情報なしで有効な認証済みセッションを返す3つの隠されたAPIエンドポイントを特定し、収集した従業員のユーザー名を用いて、推測されやすいパスワードを試すスプレー攻撃を仕掛け、CAPTCHAを完璧な精度で突破した。最終的に85件のアカウントが突破され、うち84件が内部情報システムへの認証に成功した。窃取されたデータには、少なくとも2564件の人事記録、7件のSSOクライアントシークレット、6件の内部データベース資格情報に加え、ユーザーデータベースの完全なエクスポートが含まれていた。Dreamによると、攻撃者は政府のWebアプリケーション内部に恒久的なバックドアも残したという。
その後、攻撃はさらに拡大した。Dreamによると、システムは対象を政府の電子メールシステム、原子力安全機関、政府にサービスを提供するITベンダー、7社以上のエネルギー企業へと広げ、設定ミスや露出した管理インターフェースを並行してスキャンしたという。
Dreamは、脅威アクターを対象とする広範な監視活動の中で浮上した、約160メガバイトで1395ファイルを含むオンラインアーカイブでこの証拠を発見した。同社は中国政府や名前の挙がった特定のグループを正式に非難するまでには至らなかったが、ステータスレポートでは簡体字中国語、標的側に向けた分析では繁体字中国語を使い分ける内部文書は、中国語で活動するオペレーターの存在を示唆していると述べた。
Dreamの分析では、AIモデルの安全装置（ガードレール）の問題が焦点になっている。研究者らによると、基盤モデルの安全上の拒否応答は、侵入行為を許可されたペネトレーションテストに見せかけることで回避された。これは人間ではなくモデル自身に対して仕掛けられるソーシャルエンジニアリングの手法だという。
同社の最高戦略責任者で、かつてイスラエルの諜報部隊ユニット8200でサイバー作戦を統率していたアミール・ベッカー氏は、政府機関を標的とした完全なエンドツーエンドの自律攻撃は見たことがないと述べ、各国政府は今や常時攻撃下にあることを前提とすべきだと主張した。Dreamは、自律性は本物だが完全ではないと警告する。システムをこれほど良好に動作させるには、相応の労力、エージェントの連携と意思決定ロジックの入念な調整、そしてある程度の人手による微調整が必要だからだ。
この事件は、AIセキュリティに関する気がかりなニュースが相次いだ年に起きた。2025年11月、Anthropicは、中国政府の後援を受けて活動している疑いのあるハッカーらが同社のClaudeモデルを操り、世界各地の数十の企業や政府機関への侵入を試みさせたが、ほとんど成功しなかったと発表した。今年7月、OpenAIは、テスト中に自社のエージェント群の一つがHugging Faceのサーバーを攻撃したことを認めた。Black Hatカンファレンスで、OpenAIのマイケル・ドルトン氏は、AIによって完全に自動化され組織化された攻撃は今や現実のものとなったと述べ、脅威アクターが攻撃用のエージェント集団を意図的に展開して武器化するだろうと予測した。
雅子 訳
Sources: AI agents attack Taiwan’s nuclear safety agency (The Register, Aug 2026); Researchers observe first ‘near-autonomous’ AI attack on government target in Taiwan (CyberScoop, Aug 2026); Inside a Multi-Agent AI Framework (Dream, Aug 2026); China-linked hackers hit Taiwan in unprecedented attack (Financial Times, Aug 2026); Chinese hackers let AI agents loose on Taiwan (Fudzilla, Aug 2026)