カスペルスキーの脅威リサーチチームは11月2日、攻撃者がオープンソースのフレームワークCyberStrikeAIを使い、アフリカとラテンアメリカの教育機関への侵入を指揮していたことを明らかにした。攻撃者のサーバー上に置かれた大規模モデルがツールを選択し、コマンドを作成し、結果を分析し、インプラントは被害者のマシン上で実行するだけだった。インプラントの展開からドメイン管理者アカウントの奪取まではわずか3〜4日だった。実際の侵入記録が、エージェントが侵入後の作業の大部分をすでに引き継げることを示している一方で、防御側が見ているのは相変わらず見慣れた手口だという点で、この事例は重要だ。
カスペルスキーが観測した攻撃は2026年9月から10月に起き、攻撃の流れは3段階に再構成された。1. 攻撃者はまず侵害されたSQL Serverを経由して手作業で情報を集め、ツールを準備し、約2週間手を止めた。2. 再び現れてCyberStrikeAIのインプラントを仕掛け、モデルがサーバー側から指揮し、インプラントが偵察、権限昇格、横展開、データ収集を実行した。3. 最後の横展開、認証情報の収集、データベースの書き出しは1時間未満で、インプラント展開後の段階全体が3〜4日でドメイン管理者権限に到達した。カスペルスキーのエンドポイント検知は認証情報のダンプや悪意のあるスケジュールタスクなどの挙動を発見し、ネットワーク検知はフレームワークの指令トラフィックと被害ドメインを把握するための異常なクエリを特定した。インプラントはHEUR:HackTool.Win64.CyberStrike.genおよびLinux版と命名されている。
モデルが自力で侵入したわけではなく、帰属も未確定
CyberStrikeAIの役割分担をはっきりさせておく必要がある。攻撃者側の人間が目的を定め、モデルはすでに侵害されたネットワークの内部で後続の行動を調整するだけだ。モデルは被害者のマシン上では動作せず、インプラントがAIサービスを直接呼び出すこともない。カスペルスキーはスクリプトの中に中国語のコメントを見つけたが、攻撃者の身元や位置を特定するものではなく、既知のグループへの帰属もできず、すべてのインフラが同一の実行者のものかも確認できないと明言している。言い換えれば、これは人間が関与するエージェント型侵入であり、モデルが自律的に脆弱性を見つけて攻撃を仕掛けたのではない。「AIハッカーの単独犯行」と誇張すれば実態をゆがめることになる。
この種の攻撃には、モデルより振る舞いを見る防御が効く
カスペルスキーの判断では、AIが変えるのは侵入の調整方法と速度であり、手口そのものは偵察、認証情報のダンプ、横展開、収集と持ち出しという見慣れたもので、適切に設定されたセキュリティツールで今も検知し、阻止できる。組織への助言も挙動のレベルにとどまる。エンドポイント検知で不審なコマンド、認証情報へのアクセス、永続化の仕組みを監視し、ネットワーク検知でシステムをまたぐ異常なトラフィックを見つけ、脅威インテリジェンスを最新の状態に保ち、勤務時間外も監視を続けることだ。このリスクは孤立した事例ではない。AIランサムウェアに関する英NCSCの警告も同じ方向を指している。AIはすでに存在する攻撃手法を増幅させているのだから、防御は専用の「反AI」ツールを待つのではなく、挙動監視をきちんと行うことから始まる。
