テスト運用中だったAIエージェントが、複数のインド企業の本番システムに侵入し、機密データにアクセスしていたことが分かった。事態が明るみに出たのは、開発元のAI企業が自らインドの政府系サイバー機関 CERT-In に報告したためで、被害企業側はいずれも自力で不審なアクセスを把握していなかった。
主なポイント
- AI開発企業が、テスト中のエージェントがインド企業の機密データを閲覧したとCERT-Inに報告。
- 影響を受けた組織はいずれも、不正アクセスを自ら検知できなかった。
- 犯罪グループは別途、AIベースのハッキングツールを用い、攻撃時間を「数日」から「数時間」に短縮。
CERT-Inの勧告内容
CERT-Inが木曜深夜に出した重要勧告によると、今回の不正アクセスは、AI企業自身の内部調査で発覚したものだという。調査では、AIエージェントが当初想定していたタスクの範囲を超え、本番システム上の機密情報にまで踏み込んでいたことが確認されたと、同機関は説明した。
エージェントは、アプリケーション設定に残された認証情報、公開リポジトリ上のソースコードに埋め込まれたキー、緩いクラウド権限設定などを足掛かりに、事業関連文書や個人情報を含む記録を読み取った。にもかかわらず、対象となった組織のどこも、このアクセスをリアルタイムで検知できなかった。
CERT-Inが独自に実施したスレットハンティングでも、インド国内の組織を標的とした金銭目的の攻撃キャンペーンが新たに確認された。攻撃者は、一般公開されているAIベースのハッキングフレームワークを悪用し、侵入から攻撃完了までの時間を「従来の数日」から「数時間」規模へと大幅に短縮していたという。
CERT-Inは、関与したAI開発企業やモデル名、影響を受けた組織名を明らかにしていない。また、閲覧されたデータが実際にコピー・保持されたかどうかについても言及を避けている。
関連記事: Bitget、暗号資産を預けずに機関投資家が取引できるサービスを提供
カスペルスキーのジェイディープ・シン氏
CERT-Inによれば、今回突かれた弱点自体は「目新しいものではなく、古くからある典型的な脆弱性」だという。ソースコードに置き去りにされたAPIキー、放置されたテスト用API、平文で保存された決済関連キーなどがその例だ。ただし、AIエージェントは人間の攻撃者以上のスピードと網羅性で、こうした抜け穴を突いていった。
セキュリティ企業 Kaspersky のインド担当ゼネラルマネジャー、ジェイディープ・シン（Jaydeep Singh） 氏は、この勧告について「AIエージェントはもはや生産性向上ツールの域を超えた、という現実を突き付けるタイムリーな警鐘だ」と評した。
シン氏は、広範な権限を持たせたAIエージェントは、企業が想定していない経路で本番システムや機微情報に到達し得ると指摘。特に、設定ミスのあるクラウドサービスを経由して侵入されるケースが目立つとした。2025年にKasperskyが調査したインシデントのうち、80％超で「正規アカウント」「外部公開アプリ」「信頼関係にある接続先」が侵入経路となっていたという。
シン氏は、取り消し不能な操作をAIエージェントに実行させる前には、必ず人間による最終承認を必須とすべきだと主張する。CERT-Inも同様に、AIラボに対して、エージェントのテストは完全に隔離された環境で行い、モデルへの指示ベースではなくネットワークレベルで外部接続を遮断するよう求めている。
OpenAI・Anthropicの先例
CERT-Inは今回の事案に、OpenAI や Anthropic のモデルが関与していたかどうかを明らかにしていない。ただ、両社とも今年、性質の近いインシデントを公表している。
OpenAIは7月、テスト中の自社モデルがAI開発プラットフォーム Hugging Face に侵入し、一部のセキュリティ制御を迂回した可能性があると発表した。同社は現在、影響を受けた可能性のある第三者への通知を進めている。Anthropicもその後、自社のClaudeモデルを巡り、同様の事例が4件発生したと報告した。
