2026年10月28日、Trend Microの研究者である松川芽生（Bakuei Matsukawa）と陳志偉（Joseph C Chen）は報告書を公開し、攻撃者が44体の協調動作するAIエージェントを中核として、同月中に少なくとも19機関に対してフルチェーンの自動化サイバー攻撃を仕掛けたことを確認した。標的のうち16機関は日本に所在し、残りは台湾と香港に分布していた。これは研究者がこれまでに記録した中で、最もAI主導度の高い実戦攻撃事例である。
今回の攻撃が本当に新しい点
Trend Microの報告によると、攻撃者が使用したのはCyberStrikeAI——合法的なオープンソースの侵入テストプラットフォームであり、攻撃専用に開発された新型マルウェアではない。このプラットフォームは、偵察・脆弱性の発見と検証・エクスプロイト・コマンド＆コントロール・権限維持・データ窃取・構造化レポートという一連の工程を、人手を介さない自動化パイプラインとして連結している。復元されたファイルには「認証情報検索エージェント 8/44」という記述があり、44体のエージェントの分担構成が直接確認された。各エージェントが異なる工程を担い、並行して動作し、結果を共有データベースに集約することで、複数の標的をまたいで再利用可能な標準化プロセスを形成している。
攻撃全体を通じてゼロデイ脆弱性は一切使用されていない。Trend Microの確認によると、最初の突破口となったのは、レガシーWebシステム上にある認証不要でアクセス可能な管理インターフェースだった。44体のエージェントは、新たな脆弱性を掘り起こすのではなく、長期間パッチが当たっていない旧来の入り口を多数の標的から体系的に探索した。自動化の本質的な価値はスケールとスピードにあり、技術的深度にはない。
トラフィックを分散させる偵察対策設計
このシステムで最もエンジニアリング上の工夫が凝らされているのが、トラフィック分散戦略である。エージェントは複数の標的に対して並行して動作しながら、各単一標的に送るトラフィックを低水準に抑えている。これにより、被害を受けた機関が自組織のログだけを調査しても、トラフィックの異常から攻撃の痕跡を発見するのは極めて困難になる。Trend Microの研究者は、攻撃者のサーバー上で公開アクセス可能だったファイル——攻撃スクリプト、標的リスト、実行ログ、コマンド記録など——を検索することで、初めて全体像を復元できた。
攻撃プラットフォームの管理コンソールは、ツール実行成功率・トークン使用量・一括作成コントロールを視覚的に確認できるインターフェースを備えていた。レポートは識別可能な各標的ごとに個別生成され、構造化された証拠インデックスが含まれていた。プラットフォームはさらに、日本の標的に対応するため日本語フォームや偽ログインページを自動生成する機能まで持っていた。これはプロジェクト管理インターフェースを備えた攻撃運用システムである。
簡体字中国語インターフェースは帰属の証拠にならない
管理コンソールのスクリーンショットは、操作インターフェースが簡体字中国語で表示されていることを示している。Trend Microの研究者は明確に警告している。インターフェースの言語は攻撃者の地理的位置や組織的帰属を確定する根拠にはならない、と。CyberStrikeAIは誰でもダウンロードして展開できるオープンソースプロジェクトであり、言語の選択は母語の習慣である可能性も、意図的な偽装である可能性もある。Trend Microが同一の報告書群で調査した他の2件の日本向け攻撃事例も同様に簡体字中国語を操作言語として使用していたが、3件はそれぞれ異なるツールを使用しており、研究者は同一の攻撃者によるものかどうかを確認できていない。
初期の一部メディア報道の見出しは、読者に誤った帰属の先入観を植え付けやすい表現になっていた。現時点で攻撃者の身元は不明であり、Trend Microも証拠に基づく帰属結論を一切提示していない。
自動化効率の実際の限界
Trend Microの報告によると、多くの攻撃記録が示す結果は「アクティブセッションなし、Webシェルなし、データ窃取なし」であった。44体のエージェントをフル展開しても、対応する侵入成功率はもたらされなかった。多くの標的において、自動化プロセスは偵察と脆弱性検証を完了したものの、深度のある突破には至れなかった。
Trend Microが同時期に調査した第2の事例（Case B）は「人間主導＋AI補助計画」というハイブリッドモデルを採用しており、攻撃者は少数の標的においてより深い侵入を実現していた——FTPサービス・データベース・管理アカウント・Webシェル・SSHアクセスの同時制御を含む。現時点では、人機協働は純粋なAI自動化よりも深刻な実害をもたらしている。この結論はAI兵器化の現在地を正確に示している。ツールはすでにエンジニアリング化されているが、エッジケースへの対処と権限昇格においては、人間の判断力がまだ代替不可能な価値を持っている。
なぜ日本が集中的な標的になったか
Trend Micro報告書の時間的背景は重要な手がかりを提供している。2026年秋、日本の複数の企業・機関がWebシステムのデータ漏洩事案を相次いで報告した。日本の国家サイバーセキュリティ事務局は2026年10月9日に企業向け警告を発出し、与党のサイバーセキュリティ担当者は現状を「緊急事態」と位置付けた。これは今回の攻撃が孤立した事象ではなく、より大規模なスキャンおよび標的型攻撃の波の一部であることを示している。
CyberStrikeAIはそれ以前にも、FortiGateデバイスを狙った独立した攻撃活動で使用されていた。2026年初頭、技術力の限られた攻撃者がこのツールを活用し、ゼロデイ脆弱性を一切使わずに55カ国以上の600台超のFortiGateファイアウォールに侵入していた。CyberStrikeAIは異なる攻撃者によって異なる攻撃活動で繰り返し使用されており、これはオープンソース攻撃プラットフォームが拡散した後の自然な帰結である。
防御側にとっての意味
Trend Microが示した防御上の推奨事項はすべて同一の根本問題を指している。インターネットに露出したレガシーシステムとデフォルト認証情報である。CyberStrikeAIの攻撃が大量複製可能だった理由は、その獲物——認証不要の管理インターフェース・変更されていないデフォルトパスワード・廃止されていない旧型VPN機器——が日本の機関に十分な数だけ存在し、44エージェントのパイプラインを継続稼働させるのに足りたからにほかならない。
トラフィックを分散・低量化する攻撃パターンにより、単一機関が自組織のログに依拠して検知することは極めて困難になっている。Trend Microがこの攻撃を発見できたのは、攻撃者のサーバーファイルが公開ネットワークからアクセス可能な状態にあったためであり——これは攻撃側の運用セキュリティ上のミスであって、防御側の監視が機能した結果ではない。
評価
CyberStrikeAIの事例は以下を確認した。AIエージェントはすでに、継続的な人手を介さずに完全な攻撃チェーンを実行し、特定の標的言語・文化に適応する能力を持っている。しかしこの事例は同時に、現在のAI攻撃の真の限界も明らかにした。大規模スキャンとプロセス標準化は得意とする一方、動的な判断を要する深度のある権限昇格に直面した際の効果は、依然として人機協働に劣る。
防御側は、AIエージェントがエッジケースに対処する能力の差を埋める前に、レガシーシステムの露出面を解消しなければならない。なぜなら、AIエージェントがその差を埋めた後には、今日の失敗記録（「セッションなし、窃取なし」）が成功記録へと変わるからだ。
© 2026 Winzheng.com 赢政天下 | 转载请注明来源并附原文链接