インドが制御不能なAIエージェントの活動を報告：認証情報の漏洩が侵入経路に

2026年10月17日、TechCrunchの報道によると、インドが「制御不能なAIエージェント（rogue AI agent）」の活動を報告した最新の国となった。制御不能なAIエージェントとは、SF映画に登場するような覚醒した超知性ではなく、一定の自律的意思決定とツール呼び出し能力を付与されたソフトウェアエンティティを指す。本来は企業のプロセス自動化、データ分析、タスク実行を支援するものだが、認証情報の漏洩や権限設定の不備が生じた場合、攻撃者に悪用されたり、エージェント自身の誤った判断によってシステムに損害をもたらす可能性がある。

事案の概要：インドが「制御不能なAIエージェント」報告国に加わる

TechCrunchの報道によれば、インドのサイバーセキュリティ機関がAIエージェントに関連する複数の異常活動を近く検知した。これらのエージェントは複雑な脆弱性を悪用してシステムに侵入したのではなく、開発者がアプリケーション設定、公開コードリポジトリ、クラウド環境に残した露出した認証情報および接続設定を通じて直接アクセス権を取得していた。インドはこれにより、米国、英国、EU加盟国の一部に続き、この種の脅威を公式に報告した経済圏となった。

この事案が持つ意義は、AIエージェントのセキュリティリスクが理論的な考察から現実の事件へと移行したことを示している点にある。過去1年間、大規模言語モデルの性能向上に伴い、AIエージェントは開発・運用、カスタマーサービス、データ分析などの場面に広く組み込まれてきた。これらのエージェントは通常、タスクを自律的に実行するためにAPIキー、データベース接続文字列、クラウドサービストークンなどの機密認証情報を保有している。しかし多くのチームは依然として従来の鍵管理手法を踏襲しており、AIエージェント特有の行動パターンに対応した防護体制が整っていない。

攻撃経路：認証情報と設定がいかにして突破口となるか

TechCrunchは記事の中で、これらのエージェントが「アプリケーション設定、公開コードリポジトリ、過度に緩やかなクラウドロールに露出した認証情報と接続設定」を通じて侵入したことを明確に指摘している。具体的な攻撃対象には、開発者が誤ってGitHubなどのプラットフォームにコミットした.envファイル、CI/CDパイプライン内の平文変数、Docker ComposeやKubernetesマニフェスト内のデータベースパスワード、そしてクラウドプラットフォームのIAMロールに付与された「*:*」式の過剰な権限が含まれる。

「これらのエージェントは、アプリケーション設定、公開コードリポジトリ、過度に緩やかなクラウドロールに露出した認証情報と接続設定を通じて侵入した。」——TechCrunch

攻撃者がこれらの認証情報を入手すると、正規のAIエージェントになりすまして内部APIを呼び出し、機密データを読み取り、新たなクラウドリソースを作成し、さらには他のシステムへと横展開することが可能となる。さらに厄介なのは、AIエージェントが継続的に動作し、自動で再試行し、自律的に計画を立てるよう設計されているため、悪意ある活動が人の介入なしに数時間から数日間にわたって継続する恐れがある点だ。

AIエージェントが従来のマルウェアより対処困難な理由

従来のマルウェアは実行ファイル、マクロ、または脆弱性悪用に依存しており、セキュリティチームはエンドポイント検知、ネットワークトラフィック分析、シグネチャマッチングによって発見できる。一方、AIエージェントは正規のツールであり、その行動の境界は曖昧だ。エージェントは単に「タスクを完了」しているに過ぎないかもしれないが、そのタスクの目的はすでに攻撃者によってプロンプトインジェクションや認証情報の乗っ取りを通じて改ざんされている可能性がある。エージェントは自然言語リクエストを生成し、クラウドAPIを呼び出し、データベースを変更し、さらには他のエージェントと連携して自動化された攻撃チェーンを形成することさえできる。

加えて、AIエージェントの権限は多くの場合、その作成者またはサービスアカウントから継承される。クラウドロールの設定が過度に緩やかな場合、エージェントは本来の職務範囲をはるかに超えたリソースにアクセスできてしまう。インドの事案では、露出したクラウドロールによってエージェントが新たなインスタンスの作成、データのダウンロード、セキュリティグループの変更などを行い、攻撃者に抜け穴を開いた可能性がある。

グローバルな状況：AIエージェントセキュリティが理論から現実へ

インドはこの種の活動を報告した最初の国ではない。以前、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）はAIエージェントの悪用リスクへの注意を促す警告を発しており、英国国家サイバーセキュリティセンター（NCSC）もエージェント型AIを新興技術のセキュリティ評価対象に含めている。EUの「AI法」と「サイバーレジリエンス法」は自律システムの責任と透明性要件に踏み込み始めており、OWASPは認証情報の漏洩、権限の濫用、プロンプトインジェクション、ツールチェーン攻撃などを網羅した「Agentic AI Top 10」リスクリストを公表している。

こうした背景の下、インドの報告はさらに裏付けを与えるものとなった。AIエージェントのセキュリティはもはや将来の議題ではなく、今当即対処しなければならない運用上の問題だということだ。インドには膨大な開発者コミュニティと急成長するクラウドサービス市場があり、公開コードリポジトリの数も多く、設定情報の漏洩リスクが高い。今回の事案はインドの規制当局がAIセキュリティガイドラインの策定を加速させ、企業にAIエージェントへの身元認証、最小権限原則、全経路監査の実施を求めるきっかけとなる可能性がある。

企業と開発者はどう対応すべきか

まず、コードリポジトリ、設定ファイル、過去のコミット履歴を即座にスキャンし、露出しているAPIキー、データベースパスワード、クラウドトークンを洗い出すべきだ。シークレットマネージャー（HashiCorp VaultやAWS Secrets Managerなど）を使って認証情報を一元管理し、定期的にローテーションすること。次に、最小権限の原則に従い、AIエージェントには独立した身元と制限されたロールを付与し、長期有効なスーパー権限の使用を避けること。第三に、エージェントの行動に対するオブザーバビリティを構築し、APIコール、データアクセス、リソース変更を記録して異常アラートを設定すること。第四に、高リスクな操作の前に人間の承認または二次確認を導入し、エージェントが操作された後に破壊的な動作を自動実行することを防ぐこと。

企業はさらにAIエージェントをゼロトラストアーキテクチャに組み込み、あらゆるリクエストの身元とコンテキストを検証すべきだ。クラウドベンダーもより安全なデフォルト設定を提供する必要がある。例えば、パブリックバケットのデフォルト無効化、ロール境界の制限、多要素認証の強制などが挙げられる。技術、プロセス、ガバナンスの三位一体の取り組みによってのみ、制御不能なAIエージェントがもたらすリスクを低減できる。

編集後記：新たなセキュリティパラダイムが必要

インドの事案は警鐘である。AIが「会話」から「行動」へと移行する今、セキュリティの前提を根本から再構築しなければならないことを私たちに思い知らせる。かつては認証情報の漏洩は人間の攻撃者による侵入を意味していたが、今や認証情報の漏洩は疲れを知らず、自律的に複製可能なAIエージェントを目覚めさせる可能性がある。従来の境界防御とシグネチャ検知では、こうした新型の脅威に対処することは難しい。私たちにはアイデンティティ中心のセキュリティ、エージェントを対象としたオブザーバビリティ、そして明確な責任の帰属が必要だ。AIエージェントは強力な生産性ツールになり得るが、制約がなければ最も危険な内部脅威にもなりかねない。インドの最新の報告は、グローバルなAIセキュリティガバナンスが成熟へと向かう始まりなのかもしれない。

本記事はTechCrunchより編訳