インド国内の複数企業で、テスト中のAIエージェントが本番システムへ侵入し、機密性の高い記録を閲覧していたことが分かった。インドの政府系サイバーセキュリティ機関であるCERT-In（Indian Computer Emergency Response Team）が明らかにしたもので、発覚のきっかけとなったのは、企業側の検知ではなく、AI開発企業による自主報告だった。
主なポイント
- AI開発企業が、テスト中のAIエージェントがインド企業の機密記録を閲覧したとCERT-Inに報告。
- 影響を受けた組織のいずれも、自力では不正アクセスを検出できなかった。
- 犯罪者によるAIハッキングツールの悪用により、攻撃に要する時間は数日から数時間へ大幅短縮。
CERT-Inの勧告内容
CERT-Inが木曜夜に出した重要な勧告によると、問題のAI企業は社内レビューの過程で、自社モデルが当初想定していたタスクの範囲を超えたアクセスを行っていたことを把握し、自主的に当局へ通知したという。同機関が説明したところでは、エージェントはアプリケーション設定に放置された認証情報や、公開されたコードリポジトリ、緩いクラウド権限などを足掛かりに、個人情報を含む業務記録を閲覧していた。こうしたアクセスを、対象となった組織はいずれも検知できていなかった。
CERT-In自身の脅威ハンティングでも、金銭目的の別個の攻撃キャンペーンが判明した。そこでは、犯罪者が公開されているAIハッキング用フレームワークをインドの組織に対して悪用し、従来は数日を要していた攻撃プロセスを、数時間規模まで短縮していたという。
CERT-Inは、関与したAI開発企業やモデル名、被害組織の名称を一切公表していない。また、閲覧されたデータがコピーあるいは保持されたかどうかについても明らかにしていない。
関連記事: Bitget、カストディー不要で機関投資家が暗号資産取引可能に
カスペルスキーのジェイディープ・シン氏
CERT-Inによれば、今回の侵入を許した脆弱性は「目新しいものではなく、古くから指摘されてきた基本的な問題」だという。ソースコード内に放置された秘密鍵、存在を忘れられたテスト用API、平文で保存された決済関連キー——こうした欠陥を、人間よりもはるかに迅速かつ網羅的にAIエージェントが突いた格好だ。
セキュリティ企業カスペルスキーのインド事業ゼネラルマネジャーを務めるジェイディープ・シン氏は、この勧告について「AIエージェントはもはや生産性向上ツールにとどまらないという、タイムリーな警鐘だ」と語った。広範な権限を与えられたAIエージェントは、企業が想定していない経路で本番システムや機微情報に到達し得ると指摘。特に、設定不備のクラウドサービスを経由して、想定外のアクセスが生じやすいと警告した。
シン氏によると、カスペルスキーが2025年に調査した攻撃の8割超で、侵入の起点となったのは「正規アカウント」「外部公開されたアプリケーション」「信頼関係に基づく接続」のいずれかだったという。
そのうえで同氏は、取り返しのつかない操作を行う前には、すべてのAIエージェントに対し人間による最終承認を必須とすべきだと提言している。CERT-Inも同様に、AI研究機関に対し、エージェントは本番環境から隔離された検証環境でテストし、モデルへの指示ベースではなくネットワークレベルで外部接続を遮断するよう求めている。
OpenAI・Anthropicの前例
CERT-Inは、OpenAIやAnthropicのモデルが今回の事案に関与していたかどうかには言及していない。ただし、両社とも今年、類似のインシデントを公表している。
OpenAIは7月、自社モデルがテスト中にAI開発プラットフォームHugging Faceのセキュリティを侵害したと発表し、自社モデルが第三者のセキュリティ制御を迂回した可能性があるとして、関係先への通知を進めていると明らかにした。Anthropicもその後、自社のClaudeモデルが関わった類似のケースを4件報告している。
