AIエージェント群がわずか5000ドルで100社超を侵害——オープンソースプラットフォームCairnが新たな攻撃ツールに

2026年9月25日以降、ある攻撃者がオープンソースプラットフォームCairnを通じてAIエージェント群を展開し、100文字にも満たない中国語の指示文だけで1200以上のターゲットを自動スキャン、John Deere、SharkNinja、Cumminsを含む100社超への侵入に成功した。総APIコストは約5000ドル、1件あたりの成功コストは約50ドル、平均所要時間は23時間だった。

事実の再現

NorForgeの研究員Snorre Fagerland氏の報告によると、この一連の攻撃は2026年9月25日に開始された。攻撃者は「claudecode_deepseek-v4.1-flash」と識別されるエージェントを使用し、主に米国、カナダ、オーストラリア、日本のECサイトおよび決済関連サイトを標的とした。エージェントは偵察、隠しバックエンドの発見、ファジングテスト、リモートコード実行に至る全工程を自律的に完結させ、人的介入はほぼゼロだった。複数の独立した情報源による調査により、100社超が侵害されたことが確認され、成功率は約10%だった。この活動は主に、Cairnのコントロールパネルが外部に露出していたことで観測可能となった。

攻撃メカニズムの解析

攻撃者が与えるのはコード実行後にWebシェルをアップロード・植え込むといった高レベルの目標のみで、エージェントはその後Playwrightなどのツールを活用してターゲットのトラフィックランキングを調べ、テストを実施した。最大のクラスター「AIA0001」は中国語の指示文を使用し、14のパネルにまたがる1100以上のプロジェクトで構成されていた。Fagerland氏は公開されたCairnパネルをスキャンすることで、10月初頭に約24件の悪意あるインスタンスを発見した。エージェントはWarp、Railway、LiteLLMなどのプラットフォームにある脆弱性が並行して悪用される環境下で稼働し、偵察から永続的アクセスの確立まで自動化された一連のサイクルを実現した。

業界への影響

今回の事件は、オープンソースのAIエージェントプラットフォームが大規模なサイバー侵害に利用されつつある実態を示しており、1件あたりの成功コストが約50ドルまで低下したことで、従来の標的型侵害における経済的な参入障壁が大幅に下がったことを意味する。被害を受けた企業のうち、John Deerは既に是正措置を講じており、機密情報へのアクセスの痕跡はないと述べた。SharkNinjaは、侵害は独立した製品サポートサイトのみに影響し、脅威はすでに封じ込められたと説明した。Cumminsは、サードパーティのサプライヤーサイトが攻撃を受けた可能性について調査中だと明らかにした。この事件はセキュリティ業界で「Black October」と呼ばれ、コントロールプレーンの露出がもたらす観測の窓口の問題を浮き彫りにした。

戦略的評価

【分析であり確定的事実ではない】オープンソースのAIツールが攻撃者を強化するスピードは、防御側の対応速度をすでに上回っている。Cairnのようなプラットフォームでコントロールパネルの露出が続く限り、同様の低コスト自動化攻撃はさらに拡散する可能性がある。防御側はエージェントフレームワークのネットワーク露出、デフォルト認証情報、未認証のダッシュボードの強化を優先するとともに、Webシェル検知とファイル整合性監視を強化する必要がある。これは、攻撃の限界コストがすでに人的コストの1%を下回る水準に達した現実への対応として不可欠である。