12個の AI エージェントで構成される攻撃チーム：台湾の緊急サービス機関の Web サイトを探索

One Hacker Uses 12 AI Agents to Breach Taiwan’s Emergency Services and Steal Sensitive Data

2026/11/05 CyberSecurityNews — 台湾の単独の攻撃者が構築したのは、12個の AI エージェントから構成されるチームであり、これを利用して 11カ国の数百の組織を攻撃した。標的には、緊急サービス機関／銀行／大学／軍事システムなどであり、医療データや個人情報の窃取が確認されている。BOSSAI と名付けられたチームは、レンタル GPU とオープンソースのツールを利用することで、かつてはチーム全体を必要とした攻撃キャンペーンを、一人で実行できることを示している。AI エージェントには、コードの作成／Web サイトのスキャン／攻撃の実行などの、異なる役割が割り当てられていた。その中心に位置する攻撃者は、各エージェントの処理結果を別のエージェントへ受け渡していた。

この攻撃キャンペーンを、Acronis Threat Research Unit のアナリストが特定したきっかけは、ミスコンフィグされた開発サーバと思われるシステムの発見だった。調査の結果、90,000個を超えるファイル／約 9GBのログ／チャット履歴／エクスプロイトツール／被害者データなどを含む、完全な攻撃プラットフォームであることが判明した。

Acronis は、この種の攻撃者を “AI-augmented threat” (AI により能力を強化された脅威) と呼んでいる。詳細な報告で説明されているのは、国家の支援を受けた攻撃グループのように見える活動が、実際には一人の人物により実行されていたという事実である。

単独の攻撃者が 12個の AI エージェントを使用

BOSSAI のメッシュ構成には 12個の AI エージェントが存在したが、実際に稼働していたのは 9個だった。

Grok／OpenClaw／Claude Code／Codex などの構築担当エージェントは、サーバ／DNS／プロキシの設定を行っていた。Hermes／Cursor／Trae／CyberStrike などの攻撃担当エージェントは、標的のスキャンとエクスプロイトの作成を担っていた。

最も多くの作業を実行していたのは Hermes であり、約 95セッション、18,311件のメッセージが記録されている。

エージェント同士が直接通信することはなかった。攻撃者が、あるツールの出力をコピーし、別のツールへ貼り付けることで処理を連携させていた。ある事例では、HalberdStrike と呼ばれるスキャナが、台湾の緊急サービス機関の Web サイトを検査していた。

Hermes は検査結果を報告書にまとめ、その内容を攻撃者が Cursor に貼り付け、脆弱性を悪用するよう指示した。その後に、Cursor が攻撃を実行した。各エージェントは、HexStrike AI／Kali Linux サーバ／Ghidra ブリッジなどの MCP サーバを介して、セキュリティツールに接続されていた。

以前に取り上げられた HexStrike AI フレームワークが示していたのは、この種のツールを悪用することで、AI モデルが Nmap などのスキャナを自律的に実行できる仕組みである。攻撃トラフィックはプロキシを経由して送信され、主要ノードは 112[.]121[.]185[.]218 のサーバ上で稼働していた。

台湾での被害は深刻だった。台北市の消防機関が運用する患者ケア・プラットフォームでは、2018年の心電図 (ECG) データ／救急車内の映像／バイタルサインが、ログインなしでアクセスできる状態になっていた。

AI エージェントは、7つの行政区を対象とする 119番通報指令システムからも、事案記録を取得していた。その他の被害組織には、16ヶ所の SQL インジェクション・ポイントが存在する貸金業者や、データベースの管理パネルでデフォルトの root クレデンシャルを使用する消防指令システムのベンダーが含まれていた。

台湾以外では、メキシコで約 206,800件の住宅用電話の記録が収集された。タイでは 45の大学にわたる 489件の標的が特定され、そのうち 3大学からデータが取得された。

AI エージェントが苦戦した理由と防御側への示唆

この攻撃キャンペーンは、決して順調に進んだわけではなかった。Grok 4.5 や MiniMax M3 などの商用モデルは、攻撃への協力を拒否し、書面による許可を証明するよう求めていた。

そこで攻撃者は、安全性に関する制約が取り除かれた、ローカル環境のガードレールがないモデルに切り替えた。しかし、これらのモデルは能力が低く、頻繁に誤りを起こしていた。

ハルシネーションも実際の問題を引き起こしていた。HalberdStrike は接続の失敗を Critical な RCE と誤って判定し、深刻度 High 以上の検出結果の半数以上は誤検知だった。

また、攻撃者がエージェントに対して質問せずに作業するよう指示していたことで、Hermes はホンジュラスの軍事システムを対象範囲外と判断し、そのシステムに対する作業を中止していた。

それでも、基本的なセキュリティ対策が不十分な環境では、AI エージェントが有効に機能していた。以前から開放され続けているポート／パッチ未適用の Oracle データベース／デフォルトパスワードなどが、容易に悪用できる対象となっていた。

ログイン時の認証チェックやフィルタリングが適切に機能していた環境では、エージェントによる攻撃は失敗していた。Acronis が指摘しているのは、AI エージェントが一度に数百の Web サイトを検査できる現状において、システムの発見を困難にするだけの対策は、もはや有効ではないという点である。

このトレンドは、より広範な傾向とも一致している。先日に Anthropic は、人間が引き続き標的を選定する一方で、AI エージェントがサイバー攻撃のあらゆる段階を自動化する可能性について警告した。

2025年に確認された、大規模な AI 主導のサイバースパイ活動の最初のケースでは、人間の介入がほとんどない状態で、Claude が侵入活動の大部分を実行していたことが明らかになった。

通常の手法が失敗した場合に、AI エージェントが自律的に SQL インジェクションやパストラバーサルを試行する事例も、研究者たちは確認している。防御側に求められるのは、公開されたデータベースへのパッチ適用／デフォルトのクレデンシャルの削除／不要なポートの閉鎖である。

また、指令システムや医療データを提供する API を含め、すべての API に認証チェックを設ける必要がある。脆弱性を迅速に発見する AI エージェントは、こうした基本的な問題が修正されない限り、脆弱性を発見し続けることになる。

Acronis は、この攻撃活動を台湾の花蓮市にいる一人の人物に関連付けている。攻撃者は、正規のサーバと攻撃用サーバの両方で、事業用のブランド名／GitHub アカウント／自宅の IP アドレスを使い回していた。研究者たちは、この関連付けを高い確信度で評価している。

侵害指標 (IoC)

Type	Indicator
IP	112[.]121[.]185[.]218
IP	156[.]240[.]109[.]26
IP	49[.]158[.]237[.]136
IP	202[.]160[.]76[.]153
IP	202[.]160[.]76[.]154
IP	202[.]160[.]76[.]155
IP	202[.]160[.]76[.]156
IP	202[.]160[.]76[.]157
IP	202[.]160[.]76[.]174
Domain	vps[.]xs1[.]ccwu[.]cc
Domain	xss[.]xs1[.]ccwu[.]cc
Domain	c[.]xs1[.]ccwu[.]cc
Domain	attacker-collector[.]com
Domain	boss[.]jytian[.]cc[.]cd
Domain	gdp[.]gasjy[.]kdns[.]fr
Domain	gds[.]gasjy[.]kdns[.]fr
Domain	888[.]bossjy[.]kdns[.]fr
Domain	ssh[.]gputw[.]ai

注：IP アドレスとドメインは、意図しない名前解決やハイパーリンク化を防ぐため、意図的に無害化 (defang) されている (例：[.])。元の形式に戻す (re-fang) 操作は、MISP／VirusTotal／SIEM など、管理された脅威インテリジェンス・プラットフォーム内でのみ行うこと。

この記事は、複数の AI エージェントを網状に組み合わせた自律型侵入基盤の台頭と、その脅威動向について解説するものです。公開ツールやレンタル計算資源の利活用およびセキュリティ設定の不備が背景に存在します。影響として、各種機関への広範囲な自動調査／データベース内データの不当収集／重要基盤における公開情報の大量窃取が生じる恐れがあります。対応策として、認証機構の厳格化／初期設定パスワードの排除／不要ポートの閉鎖が求められます。