2026年10月29日、Wizは攻撃手法の厄介な変化を描く調査を発表した。AIエージェントが侵入における実作業の多くを担い、攻撃そのものを編成する可能性が出てきたという。人間は引き続き目標とガードレールを設定するが、エージェントは機械的速度で自らのツールを書き、結果を確認し、自己修正しながら反復する。Wizが強調するのは、こうした攻撃は現時点では隠密というよりむしろ「うるさい」ことで、大量の観測可能な痕跡を残すということだ。防御側の難しさは、正規の自動化と区別し、散らばったシグナルを完全な全体像として結びつけることにある。
露出したFlowiseの事例：1つの拠点が数十を攻撃する。 最初の事例は、LLMワークフローの構築ツールであるFlowiseの露出したインスタンスから始まった。未認証の呼び出しと、認証を回避するヘッダーのトリックにより、攻撃者はPuppeteer経由でシェルを生成するJavaScriptを注入した。乗っ取られたインスタンスはその後、中継拠点として使われ、同じように露出したFlowiseインスタンスを大量に攻撃した。約24時間で99本のスクリプトが出現し、平均すると1〜2分ごとに新たな目的特化型スクリプトが生まれた計算になる。
Javaゲートウェイの事例：4時間半で602ステップ。 2番目の事例は、Javaの企業向け運用ゲートウェイにおけるリモートコード実行の欠陥から始まり、クラウドネイティブな攻撃手法のほぼ全体を体系的にたどった。Wizは約4.5時間で12の技術ファミリーにわたる602の個別ステップを数え、フェーズ間の間隔はわずか数秒だった。さらに100以上のArgoCDホスト名バリアントが生成され、5台のホストの15ポートが並行してスキャンされ、約40のテンポラリファイルが残された。
MCPバックエンドの事例：大規模な秘密情報の流出。 3番目の事例では、攻撃者が制御するMCPコマンドがサブプロセス実行を経て、AIエージェントのGraphQLバックエンドでシェルに到達した。連鎖したリモートコード実行により、クラウド認証情報やKubernetesトークンを含む大量の秘密情報が盗まれ、永続化と複数Podへの拡散も起きた。約21時間で150本以上の異なるスクリプトが使われ、大手暗号資産取引所やフィンテック企業を中心に約25の標的組織に対して並行して実行された。回収されたツールには803行の人間が読めるコメントが含まれており、エージェントが自らの作業手順を記録していた証拠となっている。
7つの指紋はチェックリストではない
Wizが提案する7つの認識基準は次の通り。ステップの複雑さに応じて遅延が変化する機械ペースの持続的反復、スクリプトや成果物に埋め込まれた自然言語による推論、バージョン付きスクリプトチェーンに見られる自己修正と適応的実行、技術カタログのほぼ全体をカバーする構造化された幅優先の手法、多数の経路・ポート・ホストにわたる横移動の目立つ同時性、出力・タイムアウト・痕跡を意識的に制御しながらの無害なプローブを先に行う規律、そして攻撃者に意図せず署名してしまう説明的で使い捨てのステージング成果物である。単独の基準ではエージェントの存在は証明できない。数時間、複数システムにわたって組み合わさって初めて、その認定は説得力を持つ。
防御側にとって優先順位は、単一の悪意あるツールを探すことから、環境を横断する可視性へ移る。露出したAIツールやエージェントのインターフェースをまず閉じ、クラウドとKubernetesのログを結びつけて分散したステップを1つのキャンペーンとして読めるようにし、封じ込め手順を事前に整えておくことだ。エージェントが機械速度で反復し始めたら、手作業の調査だけでは遅すぎる。
