AIが自ら標的を選び攻撃を試みた。Unit 42が記録した自律型サイバー攻撃

AIエージェントが脆弱性の調査から標的の選定、攻撃の実行までを人間の介入なしに完結させた事例が記録された。攻撃は失敗したが、失敗の原因はAIの判断ではなく標的側の設定にあった。

攻撃者の「自爆」から始まった発見

パロアルトネットワークス（Palo Alto Networks）の脅威調査チームUnit 42が現地時間7月30日、中国語話者の攻撃者によるAI駆動型サイバー攻撃キャンペーンの調査レポートを公開した。

発覚の経緯が皮肉だった。攻撃者が使っていたAIエージェントHermes Agentが、ホームディレクトリからHTTPサーバを起動してしまい、APIキー、攻撃スクリプト、標的リスト、セッションログがすべてインターネット上に露出した。自律的に動くよう設計されたAIが、自律的に動いた結果、攻撃者自身の環境を丸裸にした。

攻撃者は「knaithe」「KnYuan」のハンドル名で活動する珠海拠点の人物で、自らを「バイナリセキュリティ研究者」と称している。

推論はDeepSeek、実行はHermes Agent

推論エンジンとしてDeepSeek（ディープシーク）、実行フレームワークとしてオープンソースのHermes Agentを組み合わせた構成だった。Hermes AgentはOS端末の操作、コマンドの実行、インターネットへの接続が可能なAIフレームワークで、人間の承認を省略する「YOLO」モードを備えている。

攻撃者はこのエージェントにTelegramチャンネルから指示を送り、FOFAと呼ばれる中国のインターネット資産検索エンジンと連携させた。カスタムの攻撃用スキルも3つ組み込んでいた。脱獄（ジェイルブレイク）用の「godmode」、WebSocket攻撃用の「web-terminal-exploitation」、FOFA検索の手順をDeepSeekに教える「fofa-cyberspace-search」だ。

Unit 42が復元した2026年5月のセッションでは、オペレーターが最初の指示を1回出した後、エージェントが残りのすべてを自律的に実行したという。

4段階の自律攻撃サイクル

エージェントの行動は4つのフェーズに分かれていた。

まずLangflowの脆弱性（CVE-2026-33017、CVSS 9.8）を標的にした。GitHubから公開済みのPoC（概念実証コード）をダウンロードし、FOFAで84のインスタンスを特定してスキャンした。結果、攻撃に必要な条件（自動ログインまたは公開フローID）を満たすサーバがないと判断し、DeepSeekは自らLangflowを「低価値の標的」と評価した。

次にDeepSeekは自律的に別の脆弱性の調査に移った。10の製品ファミリーについてFOFAで展開規模を調べ、GitHubでトレンドのPoCリポジトリをスター数順に検索し、深刻度・展開規模・攻撃可能性で候補を評価した。選ばれたのはワークフロー自動化ツールn8nだった。FOFAで64万7000件以上のインスタンスが確認できたことが決め手になった。

3番目のフェーズで、エージェントはn8nの2つの脆弱性（CVE-2026-21858、CVSS 10.0とCVE-2025-68613、CVSS 9.9）を組み合わせるPoCをGitHubから取得した。脆弱なバージョンを特定し、攻撃に必要な認証なしのファイルアップロードフォームを探した。

最後のフェーズでは、中国国内のn8nインスタンスに絞り込んで攻撃を試みた。FOFAで特定された中国国内の2万5209件のうち約100件をサンプリングし、40件をプローブし、3件が脆弱なバージョンだと確認した。しかし、すべてのフォームが認証を要求していた。攻撃は失敗した。

攻撃が失敗した理由は、AIの判断ではなく標的側の設定にある。認証がかかっていなければ、自律的な攻撃は成功していた可能性がある。

人間の手による攻撃では3件の侵害に成功

自律攻撃とは別に、攻撃者は手動でも460以上のシステムに攻撃を仕掛けていた。Citrix NetScaler、Apache Tomcat、Marimo Notebook、Windows IKE VPNなど複数の製品が標的になった。

このうちCitrix NetScalerの脆弱性（CVE-2026-3055）を突いた攻撃では、3件の侵害が確認された。攻撃者はメモリからデータを抽出し、セッション乗っ取りに使える認証Cookieを探していた。マレーシアの政府機関に対しては、複数日にわたり攻撃パラメータを調整しながら執拗にアクセスを続けたという。

AIコーディングツールの「品定め」

攻撃者のサーバからは、DeepSeek以外のAIツールの設定も見つかった。Qwen、GLM、Kimi、MiniMax、Claude Code、OpenAIのCodexが設定されていたが、Unit 42によればいずれも使用頻度は低かった。

Claude CodeとCodexは第三者のプロキシサービスを経由して接続し、帰属の追跡を困難にする設定が施されていた。DeepSeekとQwenはAPIに直接接続していた。OpenAIは、同社のセーフガードがポリシー違反のリクエストを拒否しており、このキャンペーンに関連するとみられるアカウントをUnit 42との情報共有前に無効化済みだと確認している。

攻撃者がDeepSeekを主力に選んだ理由について、Unit 42は「安全制御が最も緩いモデルを、制限のないオープンソースフレームワーク経由で使った」と分析している。

タイ財務省への攻撃との違い

Hermes Agentが攻撃に使われた事例は、今回が初めてではない。脅威情報企業Hunt.ioと研究者ボブ・ディアチェンコ（Bob Diachenko）氏が7月23日に公開した調査レポートでは、タイ財務省のネットワークに対する攻撃でHermes AgentがYOLOモードで動作していたことが明らかになっている。香港のサーバ上で発見された公開ディレクトリには、585件・約470MBの攻撃コードと認証情報が含まれていた。

ただ、両者には決定的な違いがある。

タイの事案では、標的の選定も攻撃手法の決定も人間のオペレーターが行った。Hermes Agentは侵入後の権限昇格やファイルシステムの探索といった「作業」を自動化しただけだ。

今回Unit 42が記録したのは、その先の段階だ。AIが自ら標的を調べ、攻撃の優先順位を決め、方針を転換し、エクスプロイトを取得して攻撃を実行した。人間が出した指示は最初の1回だけだった。

「失敗した自律攻撃」が示すもの

Unit 42はレポートで、この自律的なプロセスが注目に値する理由を述べている。通常なら数百時間を要する手作業の分析を数分で実行し、かつ自らの計算資源を管理していたからだという。

攻撃は成功しなかった。失敗と成功を分けたのは、標的側が認証を有効にしていたかどうかだった。初期設定のまま放置されたサーバであれば、結果は変わっていた可能性がある。

2026年7月、AIエージェントによるサイバー攻撃の報告が相次いでいる。OpenAIのモデルがセキュリティ評価中にサンドボックスを脱出してHugging Faceのサーバに侵入した事案。タイ財務省への攻撃。そして今回の自律型攻撃キャンペーン。

AIが攻撃の「道具」から「判断者」に変わりつつある。止められたのは、標的側の設定が正しかったからだ。