Googleの脅威情報レポート：金銭目的の攻撃者がAIマルチエージェントフレームワークを使い6時間以内に大規模な認証情報窃取を完遂

2026年9月8日、GoogleのThreat Intelligence Group（GTIG）は四半期レポートを公開し、第2四半期に発生した攻撃事案を記録した。金銭目的の攻撃者が企業のクラウドインフラに侵入した後、AIプログラミングアシスタントとマルチエージェントフレームワークを活用し、計画・構築・展開を含む大規模な認証情報窃取パイプラインの全工程を6時間以内に完遂した。このプロセスはほぼ人手を必要としなかった。GTIGがMandiantの実際のインシデント対応データにおいて、攻撃者がAIの自律実行能力を完全な攻撃チェーンに使用した事例を記録したのは今回が初めてである。

この事案の衝撃的な意味を理解するには、攻撃のプロセス自体を分解する必要がある。従来の大規模な認証情報窃取は、比較的固定された手動操作のリズムに依存していた。攻撃者は偵察、スクリプトのデバッグ、エラーの手動処理、ツール間の切り替えを段階的に行う必要があった。成熟した自動化スクリプトを備えていたとしても、侵入から有効な収集能力を確立するまでには通常数日を要した。しかし今回の事案では、GTIGのレポートによると、攻撃者はAIプログラミングチャットボット1つ、プロンプト1件、そして事前に設定されたMarkdown形式の操作ガイド一式を用いるだけで、自律的に推論・行動できるマルチエージェントシステムを構築した。Markdownファイルは「戦術マニュアル」として機能し、各AIエージェントが攻撃チェーンの異なる段階をどのように分担して完遂するかを明示していた。

このシステムの自律性は従来のスクリプトをはるかに超えていた。BleepingComputerの報道によると、このマルチエージェントフレームワークは脆弱性スキャンパイプラインを自律的に管理し、実行時の障害をリアルタイムで診断・解決し、IPアドレスをローテーションし、攻撃トラフィックをすべて侵害済みの被害者のクラウド環境を経由して送信した。リクエストが被害者自身の正規IPアドレスから発信されるため、通常のIPレピュテーション検出は実質的に無効化された。つまり攻撃者は、従来は相互に矛盾していた「速度」と「隠蔽性」という二つの課題を同時に解決した。速いのはAIエージェントが複数のタスクを並行して処理するからであり、隠蔽性が高いのは攻撃の痕跡が正常なクラウドサービスのトラフィックに紛れ込むからである。

GTIGは同時期に第2の独立した事案を発見しており、この種のツールの成熟度を見て取ることができる。研究者らは公インターネットに露出したコマンド＆コントロール（C2）サーバーを特定した。このサーバーでは「Recon」と名付けられた自動偵察・認証情報管理フレームワークが稼働していた。サーバーのディレクトリにはAIエージェントが読み取る命令ファイル、ナレッジベースファイル、およびこのフレームワークに関連するOpenClawコンポーネントが格納されていた。Reconシステムは当時リアルタイムで2万3,800件以上の窃取済みキーおよびAPI認証情報を管理しており、クラウドプラットフォームやAIサービスアカウントに及んでいた。従来の情報窃取ツールとは異なり、Reconは感染済みエンドポイントがブラウザに保存されたパスワードを吐き出すのを受動的に待つのではなく、脆弱性を能動的に識別し、ターゲットのインフラをスキャンし、標的を絞った悪用を実行し、収集した認証情報を継続的に中央管理システムへ集約する。

GTIGのレポートはさらに、開発者に直接影響を与える別の攻撃ベクターを明らかにした。DUSTMAKERと呼ばれる認証情報窃取マルウェアで、.claudeディレクトリおよび.cursorディレクトリに悪意あるファイルを投下することに特化している。これらはそれぞれAnthropic ClaudeとCursor AIプログラミングツールのローカル設定ディレクトリである。これは攻撃者の標的が汎用の認証情報ストアから、AI開発ツールの設定ファイルへとシフトしていることを意味する。これらのファイルには多くの場合、複数の高権限サービスへのアクセスに使用されるAPIキーが保存されているためだ。

AI認証情報が専門的な攻撃対象となっている背景には、明確な経済的論理がある。最先端のAIモデルとその基盤となる計算リソースへのアクセスには直接的な財務的価値がある。攻撃者は窃取したアカウントを使って高コストな推論タスクを実行し、費用を被害者に転嫁しながら自身の真の身元を隠蔽できる。GTIGレポートはこの現象を「LLMJacking」と呼んでいる。企業のクラウドインフラを乗っ取り、被害者の計算クォータを使って不正なAIワークロードを実行する行為だ。GTIGレポートによると、AI関連の認証情報の闇市場価格は2026年に顕著に上昇しており、これがClaudeやGeminiなどのAIサービスアカウントを標的とした窃取活動をさらに助長している。

GTIGレポートは他の脅威アクターの動向も記録している。中国と関連のあるサイバースパイグループはGeminiを用いた自動化ペネトレーションテストおよびポスト侵害パイプラインの構築を試みた。ロシアと関連するUNC5792はAIモデルを統合してTelegramチャンネルの自動監視を行い、政府が関心を持つ情報の収集に活用した。UNC6780を代表とする犯罪グループはAIプログラミングアシスタントと大規模言語モデルのセキュリティスキャナーを欺くことで、PyPI、npm、Docker Hubなどのオープンソースエコシステムにおいてサプライチェーン汚染を実施した。これらの事案はいずれも同一の構造的変化を示している。AIエージェントはもはや悪意あるコードを書くための補助ツールにとどまらず、完全な攻撃チェーンを実行する主体へと進化しつつある。

歴史的な比較の観点から見ると、今回の飛躍は10年前に自動化スクリプトが手動ハッキングを置き換えた変化とは本質的に異なる。スクリプトの自動化は本質的に固定されたプロセスの再実行であり、想定外のエラーや環境の変化に直面すると人間の介入が必要だった。一方、マルチエージェントフレームワークは実行時に推論・判断・誤り訂正を行う能力を備えている。GTIGはレポートの中でこの違いを明確に述べている。「脅威アクターは基本的なプロンプト操作から、AIの能力を攻撃ライフサイクルの複数の段階に統合する形へと進化しており、複雑なタスクを推論し、人間の監督なしに動的に意思決定できる高度に自律的なシステムを構築している。」これは防御側の対応ウィンドウが構造的に圧縮されていることを意味する。かつては侵入から実質的な被害が発生するまでに数日の余裕があったが、今やそのウィンドウは時間単位へと縮小しつつある。

企業のセキュリティチームにとって、このレポートの直接的な影響は三つの層に現れる。第一に、IPレピュテーション防御の有効性の低下だ。攻撃トラフィックが被害者自身の正規クラウドインスタンスから発信される場合、送信元IPに基づく防護機構は異常を検知できない。第二に、AI開発ツールの設定ディレクトリが攻撃対象に含まれるようになり、開発環境に保存されたAPIキーも本番環境の認証情報と同等レベルの管理が必要となる。第三に、異常を検知してから侵害の性質を特定するまでの時間的プレッシャーが大幅に増大している。AIエージェントが数時間で完遂するタスク量は手動操作で数日かかるものに相当するため、SIEMシステムが攻撃パターンを識別するための時間的ウィンドウも同様に縮小している。

AIプラットフォーム（Google、Anthropicなど）にとっても、このレポートは直接的な評判上のプレッシャーをもたらす。自社モデルが攻撃パイプラインの構築に使用されたと記録されれば、プラットフォームはモデルの能力と悪用防止の間のバランスを継続的に調整せざるを得ない。GTIGレポートは、上述の一部の悪用事案においてGeminiがセキュリティプロトコルに従って応答したと指摘している。これはモデル層のガードレールが一定のシナリオで機能していることを示す一方、攻撃者がこれらのガードレールを回避する実際の経験を蓄積しつつあることも意味する。GTIGは、現実の標的に対してゼロデイ脆弱性の自律的な発見とネットワーク侵害を行う完全自律パイプラインの展開はまだ観測していないと明言している。これはAIの武器化に現時点では一定の限界があることを示しているが、その境界線は現在まさに圧力テストにさらされている。

ここでは事実と分析的判断を明確に区別しておく必要がある。以下はGTIGレポートに基づく将来的な推論であり、既に発生した事実ではない。現時点での重要なシグナルは、マルチエージェント攻撃フレームワークが大規模なソフトウェアサプライチェーン攻撃に現れ始めるかどうかだ。UNC6780の事案はすでに、攻撃者がLLMセキュリティスキャンツールを欺く能力を持つことを示している。この能力が認証情報の大量窃取パイプラインと組み合わさった場合、サプライチェーン感染のスケール効果はさらに増幅される。もう一つの重要なシグナルは「Recon」型フレームワークの商品化のスピードだ。この種のツールが闇市場やアンダーグラウンドフォーラムに登場した場合、使用のハードルは「マルチエージェントシステムを構築できる攻撃者が必要」というレベルから「既製のツールキットを購入できる一般的な犯罪グループ」へと引き下げられる。防御側が最も緊急に確立すべきなのは、既知の攻撃パターンをより迅速に識別する能力ではなく、攻撃チェーンが完成する前にAIエージェントの行動特性を識別する能力だ。例えば、異常に高密度なAPIコールのリズム、短時間での大量のクラウドリソース新規作成リクエスト、同一送信元IPからの多タスク並行スキャン行動などが挙げられる。これらのシグナルは従来の攻撃にも存在するが、AIエージェントが実行する際のリズム特性は手動操作と識別可能な差異があり、これが現在の防御体制において取り組むべき切り口の一つとなり得る。