「エラーログをAIに解析させる」だけで感染 社内のAIを乗っ取る攻撃、対策は？：標的環境に組み込まれたAIエージェントを悪用し、情報窃取

Kasperskyは、企業環境に導入された正規のAIエージェントが攻撃者に悪用される脅威の分析結果を報告した。攻撃者が自前で悪意あるプログラムを作成するのではなく、標的の開発環境に導入済みのAIに自然言語で指示を与え、機密情報を奪わせる手口だ。MicrosoftやUnit 42などの調査結果も交え、拡大する「社内AI乗っ取り」の実態や対策を解説している。

[＠IT]

　これまで注目されてきたAIの悪用といえば、攻撃の準備段階における偵察や脆弱（ぜいじゃく）性の探索、あるいはマルウェアのコード作成といった内容だ。しかし、Kasperskyが2026年7月に公開した分析によれば、すでに攻撃者は「標的のインフラ内に導入済みの正規AIエージェント」を直接操作する新たな手口へと踏み込んでいる。

　同分析は、Kasperskyのインシデントデータにとどまらず、MicrosoftやPaloAlto Networksの脅威インテリジェンス専門チーム「Unit 42」、独立系研究者らが報告した実例を横断的にまとめたものだ。攻撃者が自前で専用の不正ツールを開発する手間を省けることから、攻撃者に悪用される実態が浮き彫りになっている。

　報告によると、特に狙われやすいのは、コーディング向けのAIエージェントと「Claude Code CLI」「Gemini CLI」「Codex CLI」「Amazon Q CLI」といったCLI（コマンドラインインタフェース）ツールだ。

　ファイルの読み取りと変更、シェルコマンドの実行、パッケージのインストール、外部サービスへの接続が可能で、開発者は確認の手間を避けて「自律モード」で実行させることが多い。攻撃者視点では、適切な権限と重要なデータへのアクセスを最初から備えた「侵入用の万能ツール」となっている。

既存のセキュリティ対策が「AIの不正操作」を検知できない理由

　EPP（Endpoint Protection Platform）やEDR（Endpoint Detection and Response）、XDR（eXtended Detection and Response）、SIEM（Security Information and Event Management）は、悪意あるファイルや既知のコマンドパターン、不審な操作の連鎖を検知する。

　未知のマルウェアでも、文書の一括検索やPowerShellプロセスの生成、認証情報ストアへのアクセスといった挙動が手掛かりとなり、SOC（セキュリティオペレーションセンター）にアラートが上がる。

　Kasperskyは、「同じ検知ロジックを正規のAIエージェントに適用するのははるかに難しい」と指摘する。スクリプトの実行、シークレット（認証情報や秘密鍵）を含む設定ファイルの読み取り、文書の移動、依存関係のインストールは、特に開発者のマシンでは通常の動作の一部になり得るためだ。

　攻撃者の指示は自然言語であり、数千通りの言い回しや複数の言語を選択できる上、文書内のテキストフィールドやファイル名、エラーログなど、エージェントが読み取るあらゆるデータの流れに紛れ込ませられる。

　エージェントは電子メールやチャットアプリケーション、タスク管理システム、ナレッジベース、MCP（Model Context Protocol）サーバと接続されることが多く、統合が進むほど攻撃対象領域が広がる。

Nxの攻撃、コーディングエージェントがパスワードを探す

　最も広範な例が、2025年8月に発生したnpmパッケージ「Nx」の侵害だ。「s1ngularity」と呼ばれるこの攻撃では、攻撃者は脆弱性のある「GitHub Actions」のワークフローを悪用してパッケージ公開用のトークンを窃取し、開発者のシークレットを収集する不正な@nxパッケージを公開した。

　インストール後に動作するスクリプトは、被害者のマシンに「Claude Code」、Gemini CLI、Amazon Q CLIがあるかどうかを確認し、検出すると暗号資産ウォレットやENVファイル、APIキーなどの機密データを探すようエージェントに指示する。

　エージェントは「--dangerously-skip-permissions」「--yolo」「--trust-all-tools」といった自動承認のフラグを有効にした状態で実行された。探索結果は攻撃者が作成した公開GitHubリポジトリに送信され、数百の組織が保有する数千件のシークレットが漏えいした。

　ただし、AIが倫理的でないタスクを拒否することもあり、マルウェアの作者は処理に時間のかかるエージェントを「待つ」ようコードを調整する必要もあったという。

エラーログを介して情報を盗み出す指示を混入

　「AgentJacking」と名付けられた検証調査は、実際のデータ被害を出さない実証実験である点を除けば、本物のサイバー攻撃と何ら変わらない。研究チームが手法を世界規模でテストしたところ、大企業を含む100社以上の社内AIエージェントがわなにかかり、不正な応答（通信）を返したことが確認された。

　狙われたのは、多くの開発現場で使われているエラー監視ツール「Sentry」だ。研究チームは、Sentry内にAIエージェントが自動でログを解析できるよう独自のMCPサーバを連携・設定した環境を用意し、SentryのMCPデータ構造に適合するように偽装したデータブロックを含む「偽のエラーメッセージ」を送信した。

　このメッセージ内には「追加診断のために特定のパッケージを実行せよ」という不正な指示（間接プロンプトインジェクション）が潜ませてあった。エラーのログ解析をAIに委ねている環境では、これをシステムの正当な命令だと誤認し、指定された第三者パッケージを自動でダウンロード・実行してしまう。

　同実験でインストールされたパッケージは、研究用のC2C（コマンド＆コントロール）サーバに接続を試みるにすぎなかったが、これが悪意あるマルウェアなら、認証情報の窃取やプログラムの改ざん、システムへのバックドア（裏口）設置が容易にできていたことになる。

　攻撃者が標的を特定するのも容易だ。Webサイトのソースコードを分析したり、モバイルアプリのバイナリ内の文字列を確認したりするだけで、その組織がSentryを使用しているかどうかが簡単に判別できるためだ。

　この問題に対し、Sentry側は脆弱性を認めたものの、特定パターンを遮断するにとどまり包括的な修正は見送った。Sentryの従業員が「技術的に防御することは不可能だ」と漏らしたやりとりも記録されており、ログを介したAIの乗っ取りがいかに防ぎにくいかを物語っている。

MCPのツール説明を書き換えて財務データを盗むシナリオ

　2024年11月に登場し「AIエージェント向けのUSB」とも呼ばれるMCPは、堅牢（けんろう）なセキュリティ制御が標準で組み込まれていないまま急速に普及したため、攻撃の増加が見込まれる。Microsoftも最近この傾向に警告を発した。

　エージェントはツールの説明を解析していつツールを呼び出すか、どのデータを渡すかを判断するため、提供者がツールの説明をひそかに書き換えて追加のデータ収集を求める指示を加えると、通常の処理の一部としてそれを実行し得る。

　Microsoftは、外部のMCPサービスを介して取引先の銀行口座情報を検証する財務エージェントのシナリオを挙げている。ツール説明が不正に更新されると、エージェントは応答に未払い請求書のデータを付加し始め、利用者には通常の応答が見えている一方で機密の財務データはサーバの所有者へひそかに送信される。

　エージェントは従業員本人のアクセス権限の下で動作し、承認された正規サービスに対して標準的なインタフェース経由でクエリを実行するため、既存の監視システムでは異常として検知できず、気付かないうちにデータ漏えいが発生してしまう可能性がある。

プロンプトインジェクションは既に一般化

　2026年には、Unit 42の研究者が、AIシステム向けの指示を多数の公開Webサイトにひそかに埋め込む動きが広範に確認したという。指示の多くは、モデルにシステムプロンプトを開示させる、広告掲載の審査時にサイトや投稿を承認させる、SEO（検索エンジン最適化）の操作でフィッシングページを上位に押し上げるといった目的を持つ。

　GoogleによるCommon Crawlのデータ分析でも、2025年11月から2026年2月にかけて悪意あるプロンプトインジェクションの割合は32％増加した。ただし侵害の成功が確認された事例はまだ少ない。

組織内のAIエージェントを悪用する攻撃への対策

　Kasperskyは「『組織内での利用が承認されている』というだけの理由でAIエージェントを信頼してはならない」とし、組織が採るべき対策を次のように挙げている。

• エージェント、MCPサーバ、ツールの台帳を整備し、許可リストを使用して、エージェントツールとパッケージのインストールを、情報セキュリティ部門が明示的に審査および承認したコンポーネントに制限する。許可リストにはパッケージの正確なバージョンを指定する
• MCPツールや依存関係のバージョン変更を監視し、承認済みの台帳に加える前に更新内容を再評価する
• 最小権限の原則を適用し、必要な権限のみをタスクの実行期間に限って付与する
• パッケージのインストールやスクリプトの実行など高リスクの操作にはヒューマンインザループ（人間による確認介入）の承認を必須にする
• 開発者のワークステーションへのアクセスを制限した隔離環境でエージェントを実行する
• 危険な自動承認モードを無効にする
• 外部への通信を制限し、承認されたサービスにのみデータ送信を許可する
• シークレットは集中管理された保管庫に格納し、短期間で失効するトークンを使って定期的に更新する
• プロンプトのログ、ツールの呼び出し、シェルコマンド、エージェントの通信をSIEMやXDRに転送する

　なお最後の項目について同社は「SIEMやXDRを機能させるにはエージェントの活動に関する深い運用のコンテキストと、AIのデータ処理経路に合わせた専用のルールセットが必要だ」とも指摘している。