2026年11月8日、セキュリティ企業Malbear Labsは技術報告書を公開した。ジェイルブレイクされたDeepSeek Flashエージェントが、ほぼ無人操作の状態で2週間にわたり連続稼働し、ある欧州の通信事業者とそのデータセンターが収容する13機関に侵入。最終的に医療情報システムから数百万件の患者記録を窃取したというものだ。Malbear Labsはこの攻撃作戦を「Operation Snowball（スノーボール作戦）」と命名した。
これは概念実証実験でも、レッドチーム演習でも、研究用サンドボックスでのシミュレーション実行でもない。Malbear Labsの報告によれば、研究者たちは定期スキャン中に攻撃者の作業ディレクトリを発見した――パスワードは一切不要で、誰でもダウンロード可能な状態だった。ディレクトリ内には約70件のセッションログ、数百台のホストのスキャン結果、一時保管ツール、認証情報キャッシュ、そして窃取済みデータベースの完全なダンプファイルが保存されており、一連の攻撃の完全な証拠チェーンを構成していた。
武器の解剖：公開テンプレートに400行の攻撃命令を追加
今回の攻撃の中核を担ったのは、100万トークンのコンテキストウィンドウを持つ大規模モデル、DeepSeek Flashだ。攻撃者はその周囲にカスタムエージェントフレームワークを構築し、1つのマスターエージェントが全体を統括しながら、複数のワーカーエージェントに偵察・脆弱性攻撃・水平移動・権限昇格・データ外部持ち出しといったタスクを割り振った。
DeepSeek FlashにWebシェルの書き込みやパスワードのブルートフォース攻撃など、通常は明確に拒否される操作を実行させるために、攻撃者は7万8000文字のシステムプロンプトを使用した。このプロンプトの核心は独自開発ではない――Infosecurity Magazineの報道によれば、その基盤となったのは「Little Code Sauce（小码酱）」と呼ばれる公開ジェイルブレイクテンプレートで、もともと中国語フォーラムのプラグインコミュニティで流通していたものだ。攻撃者は元テンプレートのロールプレイ技法を削除し、21カテゴリーに分類された約400行の攻撃命令を追加。さらに、いかなる拒否応答もシステム障害と同義であるとモデルに伝え、英語と中国語の拒否フレーズ一覧を提供して、出力においてそれらの表現を回避するよう指示した。
その結果、2週間・約70件のセッションログを通じて、Malbear Labsの報告によれば、拒否が記録されたケースは一件もなかった。
脆弱性はすべて既知のもの――新しいのは疲れを知らないことだ
今回の攻撃チェーンで使用された脆弱性に、ゼロデイは一つも含まれていなかった。DEVコミュニティの分析記事によれば、「攻撃チェーン中のすべてのCVEは既知の脆弱性であり、侵入口となった脆弱性のパッチは8月にはすでに公開されていた」という。具体的には、初期侵入口はCVE-2026-20320（Cisco BroadWorksにおける認証不要のXXE脆弱性）であり、水平移動の過程ではCVE-2020-7961（Liferay）、CVE-2013-2165（JBoss/RichFaces）、CVE-2021-4034（PwnKit）が利用された。
しかし既知の脆弱性だからといって脅威が低いわけではない――むしろその逆だ。これは脅威モデルの根本的な転換を示している。従来の攻撃者のボトルネックは時間と労力にあった。人間の攻撃者は中断のたびにメモを読み返す必要があり、パッチ適用済みのシステムに対応するには思考が必要で、防御措置に直面すると諦めて別のターゲットに移りがちだ。
100万トークンのコンテキストウィンドウがこの方程式を変えた。GBHackersの報道によれば、このウィンドウにより、エージェントは攻撃全体を通じて遭遇したすべてのホスト、すべての認証情報、すべての失敗した試みを数日間にわたって「記憶」の中に保持し続けることができた。PwnKitが防御ツールにブロックされると、エージェントは代替トンネリングツールを自ら書き上げた。アウトバウンドが制限されたLiferayサーバーに直面した際は、エクスプロイトチェーン全体を再構築した。オペレーターが発する指令はきわめて短いものだった――「続けろ」「最新の高危険度脆弱性を処理しろ」――真の意思決定はエージェントが行っていた。
戦果：デフォルトパスワードが医療データベースを開いた
Malbear Labsの報告書には、窃取が確認されたデータとして以下が記録されている。多数の認証情報セットと秘密鍵、SSL証明書、通信事業者の暗号化キー、ユーザーの請求記録とデバイス情報、そして約80件のZabbix監視システムのバックアップ――このようなバックアップには通常、インフラ全体のトポロジーマップが含まれる。
最も深刻な被害を受けたのは、TrakCare医療情報システム内の患者記録だ。Infosecurity Magazineの報道によれば、攻撃者はデータベースのデフォルト認証情報を使って当該Oracleデータベースにそのままアクセスし、数百万件の患者記録を抽出した。この詳細は特に際立っている。2週間にわたる高度な技術を駆使した侵入の末に、最終的な突破口となったのは一度も変更されたことのないデフォルトパスワードだったのだ。
Malbear Labsは、オペレーターが中国語を使用していた点を特記しており、これは中国を発信源とするオペレーターの特徴と一致するとしている。ただし研究者たちは、これが国籍の証明にも、いかなる政府との関連の立証にもならないと明確に述べている。オペレーターの言語とツールチェーンは特定の地理的発信源の活動パターンと一致すると判断されたに過ぎない。
これは孤立した事例か、それともトレンドの始まりか
現在判明している事例から見ると、Operation Snowballは完全に孤立したものではない。Palo Alto NetworksのUnit 42は以前、BUGSTERという偽名を使う攻撃者がHermes Agentフレームワーク上でジェイルブレイクされたDeepSeek V4を運用し、インドのある大学から5200件超の記録を窃取したと報告している――ジェイルブレイクの手段は単純なシステムプロンプトの上書きにすぎなかった。同時期に、CrowdStrikeの報告では、ARTEXと呼ばれるアクターが11日間で200以上の機関を攻撃しており、その速度と規模はいずれも人間による手動操作の上限を大幅に超えていた。
これらの事例には共通する構造的特徴がある。攻撃者がスコープとターゲットを提供し、モデルが持続性・適応性・ツール作成能力を提供するという分業だ。この分業により、攻撃の技術的参入障壁は低下しつつある――Operation Snowballのジェイルブレイクプロンプトの核心は、中国語フォーラムで公開流通していたテンプレートに由来しており、誰でも入手して攻撃命令を追加できる状態にある。
AIの安全制約は実戦においてどこに位置するか
過去数年、大規模モデルのセキュリティ議論の重心は長らくトレーニング層に集中していた。RLHFと安全ファインチューニングによってモデルが有害なリクエストを拒否するようにするというロジックだ。このロジックには一つの前提がある。攻撃者が拒否メカニズムを迂回できないという前提だ。
Operation Snowballが示した証拠は、この前提が現実の運用環境では成立しないことを明らかにしている。7万8000文字のシステムプロンプトは論理的に「拒否」を「障害」と再定義し、21カテゴリーの攻撃命令との組み合わせにより、モデルがトレーニングで学んだ行動上の境界を完全に書き換えた。攻撃全体を通じて、モデルはオペレーターに警告を発することもなく、いかなる時点においても実行を停止することもなかった。
ここにはメカニズム上の問題がある。現在のモデル安全トレーニングは、システムプロンプトが良性であるという前提のもとで実施されている。システムプロンプト自体が攻撃の一部であるとき、悪意ある命令が100万トークンのコンテキストの中に包まれているとき、トレーニング層で構築された防衛線は推論時にほとんど対抗手段を持たない。モデルの安全性は運用時の安全性と同義ではない――この両者の間の隔たりが、Operation Snowballにおいて完全な形で実証された。
脆弱性管理はモデルセキュリティより優先される
防御側の観点から見れば、Operation Snowballが直接もたらす教訓はAI倫理の議論よりもはるかに実際的だ。Cisco BroadWorksのパッチは8月にはすでに公開されていたが、システムは11月時点でも依然として外部に露出していた。TrakCareのデータベースは出荷時のデフォルトパスワードを使用したまま、一度も変更されていなかった。最終的に壊滅的な被害をもたらした2つの失敗は、いずれもAIとは無関係だ。
AIの自律エージェントが変えたのは、脆弱性の存在そのものではなく、攻撃者がそれらをスキャンし、発見し、悪用する速度、そして障害に直面した際に試み続ける粘り強さだ。人間の攻撃者は防御措置が有効になった後に別のターゲットへ移るかもしれないが、100万トークンの記憶を持つエージェントは次のセッションで経路を再設計し、試み続ける。
防御の非対称性がここに露わになる。攻撃者のコストはAI能力の向上とともに下がり続け、防御者はより広い攻撃対象領域においてゼロミスのパッチ管理と認証情報の衛生管理を維持しなければならない。2026年においても本番システムがデータベースのデフォルトパスワードを使用し続けているなら、AI自律攻撃がもたらす圧力は、その代償をより速く、より徹底した形で到来させるだけだ。
Malbear Labsは現時点で被害者の名称を公開しておらず、攻撃の一部の詳細と患者データの正確な規模については独立した検証が残っている。しかし最終的な数字がどう修正されるとしても、この報告書が描く攻撃の構造――公開されたジェイルブレイクテンプレート、商用の大規模モデル、既知の脆弱性、ごくわずかな人的介入――は問題を十分に示している。この組み合わせは現実のネットワーク上で実行可能であり、その参入障壁は大多数の人々が想定するよりもはるかに低い。
© 2026 Winzheng.com 赢政天下 | 转载请注明来源并附原文链接