1人のハッカーが12のAIエージェントからなるネットワークを使い、数百の組織を標的にした。台湾では緊急対応に関する機密情報が露出し、大学や金融機関のシステムも侵害された。
サイバーセキュリティ企業のAcronisは、「BOSSAI」と呼ばれるこの活動を突き止め、AIツールを連携させてネットワークをスキャンし、脆弱性を特定して不正アクセスを試みた台湾拠点の運用者にたどり着いた。このキャンペーンは11カ国の組織に及んだが、実際に侵害が確認されたのは試みられた攻撃の一部にすぎない。
この調査は、1人の人間がAIを使い、これまで大規模な活動に結び付けられていた規模でサイバー攻撃を実行できることを示している。同時に、脆弱性の捏造やエクスプロイトの失敗、悪意のある指示を拒否する商用AIモデルなど、この技術の限界も明らかにした。
BOSSAIは12のAIエージェントを1つの攻撃活動に統合した
Acronis Threat Research Unit（TRU）によると、BOSSAIは12のAIエージェントで構成され、そのうち9つが調査期間中に稼働していた。
エージェントにはそれぞれ異なる役割があった。攻撃インフラを構築・維持するものもあれば、偵察、脆弱性の分析、スクリプトの開発、エクスプロイトの試行を担うものもあった。
攻撃活動の大半はHermesが担当し、脆弱性評価用のHalberdStrike、コード開発用のCursorとTrae、追加のセキュリティテスト用のCyberStrikeなどのツールがこれを支援した。
日本でも同様のAI支援型攻撃活動が現れ、 CyberStrikeAIがAIエージェント44個を使って組織を標的にした。自動化された偵察やエクスプロイトの試行、報告作成を通じたものだ。研究者は、両活動の間に関連性があるとは確認していない。
運用者は、Model Context Protocol（MCP）サーバーを介してこれらのシステムをペネトレーションテスト用ツールに接続し、エージェントがスキャナーや脆弱性分析ユーティリティー、エクスプロイトフレームワークを呼び出せるようにした。
しかし、エージェント同士が直接通信していたわけではない。Acronisが発見したところによると、運用者は攻撃の各段階を調整するため、AIインターフェース間で結果を頻繁にコピーしていた。
台湾の緊急サービスに関するある事例では、HalberdStrikeが脆弱性レポートを作成し、運用者はそれをHermesに渡して分析させた。その結果は、特定された弱点を悪用するよう指示を添えてCursorに転送された。
この構成により、1人の人間が複雑な活動を専門ツールに分担させ、あらゆる技術作業を手作業で行う必要を減らせた。
台湾の緊急システムが医療記録と出動記録を露出させた
台湾は最も激しく標的にされ、特に緊急サービス、政府システム、金融機関が狙われた。
今回の調査結果は、AIを利用した侵入に対する台湾の懸念をさらに深めるものだ。台湾では以前にも、 政府ネットワークを狙ったAIエージェントによるサイバー攻撃について調査が行われており、そこでは連携したツールと従来型のハッキング手法が使われていた。これらのインシデントが関連しているとは確認されていない。
Acronisは、台北市消防局の救急患者ケアプラットフォームを特定した。このシステムでは、認証なしで医療情報が露出していた。
アクセス可能だった記録は2018年のもので、心電図の測定値、救急車の映像、患者のバイタルサインが含まれていた。
これとは別に、BOSSAIのエージェントはある都市の119番緊急指令システムにアクセスし、台北市の7区にまたがる事案記録を抜き出した。
盗まれた情報には、事案の発生時刻、対応区分、案件の状態、通りのレベルの位置情報が含まれていた。
研究者は、この記録から救急車をリアルタイムでGPS追跡できたわけではないと説明した。それでも、緊急対応に関する機微な運用情報が含まれていた。
台湾の緊急インフラに対するその他の攻撃は、結果がまちまちだった。
ある緊急管理システムでは、フロントエンドのJavaScriptにAES-256の暗号鍵がハードコードされ、管理者の身元情報を含むセッションCookieの内容が露出していた。Acronisは、サーバーサイドリクエストフォージェリにつながる部分的な経路も特定したが、完全な侵害は確認していない。
一方、国家災害対応組織をスキャンしたところ、Apacheの深刻なリモートコード実行の脆弱性が誤って報告された。詳しく調べた結果、この報告を裏付ける証拠は見つからなかった。
確認された露出は、特に不十分なAPIアクセス制御、露出した機密情報、安全でないアプリケーション構成といった、よく知られたセキュリティ上の弱点を浮き彫りにしている。
攻撃は大学や金融機関にも及んだ
Acronisによると、BOSSAIの活動は11カ国に及んだが、標的化の度合いには大きな差があった。
12日間の観測期間中、研究者は3カ国のおよそ10の標的で、不正アクセスまたはデータ抽出を確認した。さらに約15の標的では、侵害は確認されなかったものの、実際の攻撃が行われた。
タイも主要な標的の1つだった。
エージェントは45大学にまたがる489の潜在的な標的を特定し、自動化されたSQLインジェクションテストを実施した。Acronisは3機関でデータ抽出を確認し、別の2機関ではデータ窃取は確認されなかったものの、インジェクションの脆弱性を検証した。
ある大学では、エージェントが2,563行のデータを含む管理者データベーステーブルにアクセスし、学生記録の抽出を試みた。
台湾では、エージェントが融資サービス企業のデータベースに対するSQLインジェクションを悪用し、アカウント情報を抽出した。また、消防指令技術ベンダーのデータベース管理インターフェースにも、デフォルトのroot認証情報を使ってアクセスした。
メキシコでは、運用者は異なる目的を追求し、エージェントに居住者情報の収集を指示した。ある活動では、氏名、住所、郵便番号にひも付いた電話番号記録を約206,800件取得し、別のディレクトリースクレイピングでは約124,000件の記録を収集した。
メキシコでの活動はデータの収集とスクレイピングであり、基盤システムの侵害が確認されたわけではない。
Acronisは他国の軍事関連システムや組織に対する偵察も特定したが、そうした活動の多くは確認済みのエクスプロイトにまで進まなかった。
この調査結果は、調査対象となったすべての組織が侵害されたと断定するものではない一方、自動化された標的化が及ぼす範囲の広さを示している。
商用AIモデルが攻撃を拒否したため、改変システムへの切り替えを余儀なくされた
Acronisは、商用AIモデルに不正なサイバー攻撃への参加を促そうとする試みが繰り返されたことも記録している。
研究者は、GrokとMiniMax M3が攻撃的な要求を拒否し、ペネトレーションテストを支援する前に認証の証明を求めることが多かったと観察した。
その結果、運用者は安全制限を取り除くよう改変したローカルホスト型モデル、一般にアブリテレートモデルと呼ばれるものを、直接的なエクスプロイトの多くに利用した。
これには、DeepSeek、GLM、Qwenの改変版が含まれていた。
商用モデルは、インフラの開発やトラブルシューティングには引き続き協力した。しかし研究者によると、観察したモデルは一般に、不正な攻撃を直接実行する要求を拒否した。
改変されたローカルモデルはそうした指示に従う意欲が高かったが、出力の信頼性は低いことが多く、追加のトラブルシューティングが必要だった。
この調査結果は、改変モデルと既存のセキュリティツールへのアクセスによって活動全体は継続できたものの、商用AIの安全対策が運用者に障害をもたらしたことを示している。
AIエージェントは脆弱性を捏造し、潜在的な標的を見逃した
BOSSAIの自動化は、運用者にとって問題も生み出した。
Acronisによると、HalberdStrikeが検出した高深刻度および重大な脆弱性の半数以上は、誤検知または誤分類だった。
一部のエージェントは、接続に失敗した試行を深刻なセキュリティ上の欠陥の証拠と誤認し、技術的な裏付けがないにもかかわらず、もっともらしく見える詳細なレポートを作成した。
エージェントは、攻撃者の目的に反する判断も下した。
メキシコの電話ディレクトリーに対する偵察中、Hermesはホンジュラス軍関係者のシステムに遭遇したが、標的が割り当てられた範囲外だと判断し、それ以上のエクスプロイトを中止した。
運用者はエージェントに対し、何度も承認を求めずに自律的に判断するよう指示していた。
これにより手動介入は減ったが、攻撃者が価値のある発見を見落としたり、存在しない脆弱性の調査に時間を浪費したりする可能性も生じた。
Acronisは、エージェントが膨大な量の情報を生成したため、1人の運用者がすべての動作を監視し、結果を評価するのが困難だったと報告している。
この調査は、自律型AIによって攻撃者の到達範囲を広げられる一方、正確な分析やエクスプロイトの成功が保証されるわけではないことを示している。
セキュリティチームがBOSSAIから学ぶべきこと
BOSSAIで確認された侵害の大半は、未知の脆弱性ではなく、既存のセキュリティ上の弱点に関係していた。
露出した緊急対応記録、SQLインジェクションの欠陥、デフォルトの認証情報によって、本来保護されるべき情報にアクセスする機会がエージェントに与えられた。
重要インフラや機微なデータを管理する組織にとって、今回の調査結果は、次のような防御上の優先事項を改めて示している。
- 公開APIを保護する。認証を必須とし、認可チェックを実施して機密記録へのアクセスを防ぐ。
- レガシーシステムを見直す。古いデータベース、露出したサービス、十分な保護がないままアクセス可能になっているアプリケーションを特定する。
- デフォルトの認証情報を削除する。管理インターフェースを制限し、すべての管理システムで強力な認証を適用する。
- 自動化された偵察を監視する。通常とは異なるスキャン活動、繰り返されるログイン試行、公開インフラに対する不審なリクエストを調査する。
- 脆弱性の検出結果を検証する。自動評価だけに依存せず、裏付けとなる技術的証拠で疑われる欠陥を確認する。
独自のAIエージェントを導入する組織も、ツールの権限を制限し、実行状況を監視するとともに、機微な操作には人間の承認を必須にすべきだ。
BOSSAIは、1人の運用者がAIエージェントと既存のセキュリティツールを組み合わせ、複数の国の組織を攻撃できることを示している。しかしこの調査は、多くの試みが失敗し、エージェントが発見結果を捏造したり、標的を放棄したりしたことも示している。
防御側にとって差し迫った懸念は、AIによってあらゆるシステムが脆弱になったことではない。攻撃者がより少ない手作業で、より多くの標的に存在する弱点を探せるようになったことだ。そのため、強固なアクセス制御、継続的な監視、迅速な修正がますます重要になっている。
その他のニュース：ハッカーが 重大なNode-REDの脆弱性（CVE-2026-58115）を悪用して悪意のある自動化フローと永続的なバックドアを展開し、影響を受けたSIMATIC IoT2050のユーザーにシステムの更新とアクセス制御の強化を促している。