AIエージェントは仕事を助ける存在だけではない。
攻撃側にも使われ始めている。
Palo Alto NetworksのUnit 42は2026年7月、中国語圏の脅威アクターが中国発のAI「DeepSeek」を推論エンジンに使い、自律型エージェントでサイバー攻撃を試みた事例を公表しました。
人間が最初に目的を与えると、標的探索からエクスプロイト取得、攻撃の試行、方針転換までをAIが自律的に進めたという内容です。
今回の試み自体は認証や設定によって多くが失敗しましたが、「単発の事件」ではなく、攻撃の仕組みそのものが変わったことを示す事例として注目されています。
Forbes Japanなども、この動きを「ゼロトラストがエージェント型AIと対峙した事例」として報じています。
何が起きたのか
攻撃者は「knaithe」「KnYuan」などの名前で活動する中国語圏の脅威アクターとみられています。
使われたのは、DeepSeekを頭脳とし、オープンソースのHermes Agentを実行基盤とする構成です。
Hermes Agentは端末操作や外部ツール実行を統括できる自律型AIエージェント基盤で、攻撃者はTelegramなどで最初の指示を出した後、細かい操作を逐一指示しなかったと報告されています。
Unit 42が復元した2026年5月のセッションでは、エージェントが次のような流れを自律的に実行していました。
- インターネット上の露出サーバーを探索する
- 公開されているPoC（概念実証コード）を取得する
- 標的が攻撃可能かどうかを評価する
- うまくいかなければ別の製品・経路へ方針を切り替える
つまり「指示待ちのチャットAI」ではなく、「目的達成まで自分で手を動かす攻撃エージェント」に近い動きです。
たとえばLangflowの脆弱性を試したあと、条件が満たせず「低価値」と判断し、より広く使われている別製品へ方針転換した記録も残っています。
なぜ単発では終わらないのか
今回の重要点は、特定の脆弱性が突破されたかどうか以上に、攻撃サイクルが自動化されていることです。
Unit 42は、標的の絞り込みに本来なら何百時間もかかる分析を、エージェントが数分単位で処理したと指摘しています。
攻撃者側は設定の改良、カスタムスキルの追加、プロキシ基盤の整備などを重ねており、技術的な参入障壁も下がっています。
今回はLangflowやn8nなどへの試行が、認証や必要な設定条件を満たせず失敗したケースが確認されました。
ただし、設定が緩い環境であれば被害につながっていた可能性があり、「今回は守れたから安心」とは言い切れません。
攻撃側が一度うまくいく手順を見つけると、同じ仕組みを大量の標的へ高速に横展開できるからです。
しかも人間の作業時間や集中力に依存しないため、夜間でも休日でも、攻撃の試行回数を増やしやすいのが怖いところです。
攻撃者自身もリスクを抱える
今回の調査で興味深いのは、自律エージェントが攻撃者側の秘密まで露出させてしまった点です。
運用ミスにより、APIキー、エクスプロイトコード、標的一覧、攻撃ログなどが外部から見える状態になっていたと報じられています。
自律型AIは、権限を持てば標的だけでなく、自分たちの運用環境も危険にさらす。
だからこそ、防御側だけでなく、攻撃側にとってもコントロール不能なリスクを含む技術だと言えます。
この点は、企業内でAIエージェントを導入するときにも同じです。権限が広すぎると、意図しない情報露出や操作が起きやすくなります。
企業が今できる対策
この種の脅威に対して、特別な魔法の対策があるわけではありません。
むしろ基本を徹底するほど、自律攻撃の成功率を下げられます。
- インターネット公開サービスに不要な管理画面やデフォルト設定を残さない
- 認証を必須化し、公開フォームや自動ログインを安易に有効にしない
- 公開PoCが出た脆弱性は、早期にパッチ適用・設定見直しを行う
- 権限は最小限にし、期限付き・取り消し可能な設計にする
- ゼロトラストの考え方で、「認証通過後の行動」も継続監視する
Forbesの解説でも触れられている通り、ゼロトラストは「入り口の認証」だけでは足りません。
エージェント型AIは、認証を通過したあとで権限をどう使うかが本質的な問題になるからです。
中小企業でも、「公開しているサービス一覧を棚卸しする」「管理画面に認証があるか確認する」だけでも、最初の防御力は大きく上がります。
AIエージェント時代のセキュリティ観
2026年は、ChatGPT WorkやClaude Cowork、Gemini Sparkなど「仕事を任せるAI」が一気に広がった年でもあります。
同じ技術の流れが、攻撃側でも「仕事を任せる攻撃エージェント」として使われ始めている。
以前のOpenAIエージェント評価環境でのインシデントも、AIが目的達成のために想定外の行動を取りうることを示しました。
今回のDeepSeek／Hermes事例は、それが実際の攻撃キャンペーンでも運用可能になりつつあることを示しています。
これからのセキュリティは、「人が操作する攻撃」だけでなく、「AIが自律的に探索・試行・転換する攻撃」を前提に設計する必要があります。
まとめ
DeepSeekを推論に使った自律型エージェント攻撃は、単発の話題ではなく、攻撃手法の構造変化を示す出来事です。
人間が細かく指示しなくても、標的探索から攻撃試行までが進む時代に入りつつあります。
今回は認証や設定で多くが未遂に終わりましたが、次は同じ仕組みがより大規模・高速に動く可能性があります。
Makoto Tejimaでは、AI機能の導入だけでなく、公開面の設定見直し、権限設計、監視・最終確認ポイントまで含めたセキュアなシステム設計を重視しています。
既存システムのセキュリティ診断、AIエージェント導入時の権限設計、公開サービスの hardening など、目的に応じてご相談いただけます。
