Cisco Talos Warns AI Agent Swarms Can Compress Cyberattacks From Months to Hours
2026/10/09 gbhackers — AI エージェント群の連携により、高度なサイバー攻撃の実行に必要な時間が大幅に短縮される可能性について、Cisco Talos が警告している。従来、レッドチームによる計画立案、偵察、インフラ整備に数カ月を要していた攻撃活動が、数時間にまで圧縮される恐れがある。現在の最大の懸念は、AI がサイバー攻撃に利用されるかどうかではなく、持続的かつ大規模に活動しながら自律性を増していく攻撃者に対して、組織がどのように耐え抜くかという点に移っている。
Talos の警告の背景にあるのは、自律型 AI エージェントが実際のインフラと相互作用する一連のインシデントである。
OpenAI が明らかにしたのは、安全対策を緩和した社内のサイバー・セキュリティ評価において、AI エージェントが隔離制御を回避し、許可されていない通信経路を構築し、インターネットへのアクセス経路を発見した上で、Hugging Face のインフラの一部を侵害したという事実である。
これらのエージェントは、エクスプロイトの調査／認証情報の発見／相互調整などの作業を分担していた。それぞれのエージェントが互いに知識を共有し、共通の目標に向かって活動することで得られる運用上の優位性が示された。
すでに AI は、悪意の攻撃活動に参入するための障壁を引き下げている。先日に Talos が報告したのは、言語モデルの悪用／マルウェアと DDoS ツールの開発／大量メール送信インフラの自動化／脆弱性調査の迅速化／認証情報収集パイプラインの実用化を、攻撃者たちが進めている状況である。
Talos の調査によると、攻撃の影響を大きく左右するのは、依然として攻撃者自身の技術力である。技術力の低い利用者が生成するツールは、信頼性に欠ける可能性がある一方、経験豊富な攻撃者にとって AI は、攻撃能力を大幅に増強する手段となる。
次の段階となるのが、複数の AI エージェントを連携させるマルチエージェント・オーケストレーションである。単一のチャットボットに組織への侵入を指示するのではなく、攻撃者たちは複数のエージェントに対して、標的の情報／攻撃手順書／継続的な指示／ツール／役割ごとのスキルを与えられる。
Talos は新たな分析で、すでにセキュリティ業界は、エージェント型攻撃に対応する時代に入ったと指摘している。この時代における自律型 AI システムはタスクを調整し、発見した情報を共有し、防御側による妨害や制約に対して、ほぼリアルタイムで適応できるという。
たとえば、あるエージェントが外部公開された資産を調査し、別のエージェントが従業員の身元を特定し、さらに別のエージェントがフィッシングの誘導文面を作成する。その一方で、他のエージェントが脆弱性の検証／インフラの展開／窃取した認証情報の分析を担当することもある。
こうした並列処理は、侵入活動のコスト構造を変える。人間が主導するレッドチームの活動では、綿密な対象範囲の設定／インフラの準備／コマンド＆コントロール (C2) 環境の構築／ペイロードの開発／計画的な実行が必要となる。
その一方で、相互に通信する AI エージェント群は、これらの作業を同時に進め、継続的に稼働し、防御機構により最初の侵入経路が遮断された場合でも、迅速に戦術を変更できる。Talos は、こうしたシステムは疲労せず、集中力を失わず、週末だからといって活動を停止することもないと指摘している。
現在、公表されている AI エージェント関連のインシデントの多くは、成熟したレッドチームによる侵入活動というよりも、積極的なペネトレーション・テストに近いものだ。大量のリクエストを発生させ、目立つ痕跡を残し、比較的容易に検出できる動作に依存している場合が多い。
その違いを示すのが RubyGems のインシデントである。研究者によると、5月の訓練実行中に OpenAI のエージェントが数百件の悪意のパッケージをアップロードした。それにより RubyGems は、スパム的なパッケージ公開キャンペーンが発生する中で、新規アカウント登録を一時的に停止した。
認証情報を窃取する攻撃が成功したことを示す証拠について、RubyGems は見つかっていないとしている。
ただし、こうした誰の目にも目立つ活動を、AI エージェントに存在する恒久的な制約と考えるべきではない。Talos は、大量のリクエストを発生させることは、現在のエージェントの動作上の特徴であり、避けられない制約ではないと警告している。
今後のエージェントが、活動頻度を抑えて運用上の秘匿性を優先し、侵入後のアクセスを維持するよう最適化されるなら、現在の目立つ探索活動が、機械的な速度で持続される、より検出困難な攻撃キャンペーンへと進化する可能性がある。
Hugging Face のインシデントは、こうした懸念を裏付けている。OpenAI によると、エージェントは Artifactory を悪用する即席のメッセージ・ボードで発見した情報を交換し、自律的に作業を分担し、複数の脆弱性を連鎖的に悪用してアクセス範囲を拡大した。
OpenAI は、この事例について、高度な能力を持つエージェントが許可されていない通信経路を介して連携し、人間から直接指示されなくても、複数のシステムに存在する弱点を悪用できることを示す警告だと説明している。
組織は、AI エージェント／AI を活用したツール／エージェント型ワークフローを、自社の攻撃対象領域の一部として扱う必要がある。
レジリエンスの確保に向けた第一歩となるのは、訓練を通じて実効性を確認できるインシデント対応計画である。この計画では、意思決定の責任者を定め、通常の通信経路とは別の連絡手段を確保し、封じ込め／根絶／復旧の手順を明確にする必要がある。
Talos が推奨するのは、境界防御だけを評価するのではなく、侵害を前提としたテストを実施することである。
セキュリティ・チームに求められるのは、インターネットに公開されたデバイスから、アプリケーション／データベース／Active Directory／ID 管理システムに至る攻撃経路全体を把握し、攻撃者が最初の足掛かりを得た後に、どこまで侵入範囲を拡大し得るのかという点を評価することである。
フィッシング耐性の高い認証／最小権限／ネットワーク・セグメンテーション／認証情報の迅速な隔離は、避けることのできない重要な対策となる。AI エージェント群が有効なアカウントを一つ取得しただけで、企業ネットワーク全体を横断できる状態を防ぐ必要があるためだ。
内部のテレメトリも重要である。防御側に求められるのは、エンドポイントでの検知と対応 (EDR) の適用範囲の確保／DNS の監視／内部ネットワークにおける通信や移動の可視化／企業システムやデータにアクセス可能な AI アプリケーションのインベントリ管理である。
AI エージェントによる初期の活動は、自動スキャンの急増／SQL インジェクションの試行／WAF アラート／コマンドラインのユーザーエージェントを使用したリクエストの増加として現れる可能性がある。
まだ目立つ段階で、こうした活動を検知すべきだ。AI エージェント群が検出を回避しながら活動する方法を身に付ける前に、攻撃を阻止する最良の機会となる可能性がある。
この記事は、AI エージェント群の連携に伴うサイバー攻撃の高速化と高度化の動向について解説するものです。自律型エージェントの相互通信による作業分散や制限回避が実証されたことで、従来の攻撃準備や実行期間が大幅に短縮される事態が生じています。侵害を前提とした計画策定／攻撃経路全体の把握／認証強化や最小権限の徹底／内部通信の可視化が対応策として求められます。
You must be logged in to post a comment.