現実の攻撃現場で、ゼロトラストがエージェント型AIと対峙した。ゼロトラストとは、利用者や端末を無条件に信頼せず、アクセスのたびに身元と権限を検証するセキュリティ設計だ。ただし、認証を通過したAIが、与えられた権限をどう解釈し、どの行動に使うかまでは統制しない。今回の事例は、防御側だけでなく、AIを攻撃に使う側にも警告を突きつける。
中国の脅威アクターは、DeepSeekを推論エンジンとするHermes Agentを用い、脆弱なサーバーを探して攻撃した。Hermes Agentは、端末アクセスや外部ツール実行を統括する自律型AIエージェント基盤である。
攻撃者は個々の操作を逐一指示せず、AIに攻撃目的と権限を与え、標的探索から攻撃までを自律的に実行させた。AIは脆弱なサーバーを探して標的を選び、エクスプロイトコードを取得した。攻撃に失敗すると、別の経路へ切り替えた。
パロアルトネットワークスの脅威研究部門Unit 42によると、今回は標的側に設定されていた認証が、侵害に至る手前でエージェントを食い止めた。
だが、現在のゼロトラストでは、今後現れるエージェント型AI攻撃を封じ込められない。
既存の制御策は、アクセスを検証してエクスプロイトをブロックすることはできる。だが、エージェントが自らの権限をどう解釈し、どう行動するかまでは制御できない。
権限を持つAIが自律攻撃、運用者側の機密までさらす
今回、攻撃は認証によって阻止されたものの、標的の侵害まであと一歩に迫っていた。しかも、事態は思わぬ方向へ転んだ。AIは、運用者が使っていたAPIキー、エクスプロイトコード、標的一覧、攻撃ログまでさらした。つまり、自律型AIは標的を攻撃するだけでなく、それを使う攻撃者自身の機密情報も危険にさらす。だからこそ、防御側だけでなく攻撃側も警戒すべきなのである。
これは勝手に暴走したAIではない。正式に権限を与えられながら、人間の監督を受けずに動いたAIである。その事実こそが、我々の懸念を和らげるどころか、よりいっそう深めるはずだ。現時点では、こうしたインシデントを1回限りの例外として報告することはできる。だが、この脅威は、我々がそれを制御する能力を上回るスピードで拡大していくだろう。
身元の確認は権限ではない、ゼロトラストは前提から問い直す
したがって、これはゼロトラストが持ちこたえた事例であると同時に、それが破綻するポイントを示すものでもある。エージェント型攻撃が高度化し、規模を拡大する以上、ゼロトラストは設計から見直す必要がある。IDは権限ではない。権限は独立して検証でき、取り消し可能で、期限付きでなければならない。AIも稼働基盤も操作できないシグナルと照合し、継続的に確認する必要がある。
