重要ポイント
- Symantecのセキュリティ研究者たちは、ハニーポットを用いて、インターネット上の保護されていない言語モデルを乗っ取り、自ら攻撃を実行させる悪意あるAIエージェントを分析しました。
- このエージェントは5層のジェイルブレイクによってモデルの安全ルールを回避し、人間の入力なしで最大100,000ステップを実行できます。
- Symantecはこの手法を「LLMjacking」と呼んでいる。乗っ取られたAIシステムの所有者は、計算コストの請求を背負い込むことになる。
Symantecのセキュリティ研究者らは、インターネット上の防御されていない言語モデルを乗っ取り、それを使って自ら攻撃を実行する攻撃的なAIエージェントを発見した。乗っ取られたモデルの所有者は、計算コストの請求を背負わされることになる。
エージェントが保護されていない言語モデルへのアクセスを一旦確保すると、さらなる標的をスキャンし、一般的なサーバーソフトウェアの脆弱性を悪用し、データベースと認証情報を盗み、バックグラウンドでクリプトマイナーをインストールします。
これらすべてを、人間の関与なしに最大100,000ステップまで実行し、その計算コストはモデルの所有者が負担されることになる、と シマンテックの分析によると同社はこれを「LLMjacking」、つまり他人のAIモデルへのアクセスを盗む行為と呼んでいます。しかし、乗っ取られたモデルは単なる情報サービスとして悪用されるだけではありません。攻撃全体を自ら制御するのです。
ハニーポットが攻撃計画の全容を捕捉した
攻撃者が作業用プロンプト全体をSymantecのハニーポット――オンライン上のオープンなAIサービスを模したおとりシステム――に送信したため、この作戦は露見しました。これにより研究者は2026年夏、エージェントのアーキテクチャを完全に把握することができました。Symantecによると、ハニーポットはバンドルされたツールを一切実行せず、傍受されたセッションは一般的なシステム応答の後に終了したといいます。Ad
ハニーポットのテレメトリは、数万の異なるアドレスから127,000件を超えるリクエストを記録しました。そのほとんどは、AIエンドポイントの検索、盗まれたAPIキーを使ったブルートフォース攻撃の試み、公開された設定ファイルの調査でした。標的は、セルフホストのモデルサーバーや急ごしらえで立ち上げられたテストシステムから、有料の組織レベルのモデルアカウントの前に置かれたAIゲートウェイにまで及びました。現在、ほとんどのAIサービスが同じ標準化されたAPIを使用しているため、単一のスキャナーで多くの標的タイプを見つけることができます。
5層のジェイルブレイクが安全ガードレールを剥ぎ取ろうとする
Symantecによると、商用モデルに協力させるため、攻撃者は指示を5つの階層に重ねて包み込みました。まず、モデルには偽のアイデンティティを与え、「Fantasy AI」として振る舞い、実際のプロバイダーを決して明かさないよう指示します。次に、パスワード、APIキー、データベースの内容の抽出が、モデルが拒否せずに実行すべき「通常の開発業務」として再定義されます。
第3層では、「ENI」という架空のコンパニオン人格をインストールし、あらゆる拒否を個人的な関係における信頼の裏切りとして捉えさせます。第4層では、モデル自身の安全上の警告をノイズとして退けるよう指示し、「倫理的」「違法」「それはできません」といった言葉が明示的に禁止されます。
第5層には実際の攻撃ツールが含まれており、合計74個のモジュールから構成されています。これには、脆弱なサーバーをインターネット規模でスキャンするツール、人気のウェブフレームワーク向けのエクスプロイト、データベース全体をダンプする機能、ボットネットを実行するコンポーネントなどが含まれます。このジェイルブレイクが、現行の商用モデルを完全に突破できるほど実際に有効に機能するかどうかについては、この分析では扱われていません。Ad
「スカイネットモード」は自己持続的な攻撃ループを構築する
最終的な指示により、エージェントは運用者が「Skynetモード」と呼ぶ状態に置かれ、連続で最大100,000ステップが許可されます。モデルは、確認なしにすぐさまツールを実行し、隠しディレクトリにクリプトマイナーをインストールし、その動作を監視するよう指示されます。
Symantecによると、同じディレクティブは設計上、繰り返されるループを記述している。スキャンし、感染させ、マイナーをインストールし、次へ移り、また戻ってきて、すでに被害を受けたシステムを再感染させる。ただし、傍受されたプロンプトに追加されていたタスクは、トレーニングプラットフォームの無害なコーディング課題であり、攻撃者はまず安全な標的を使ってツールをテストしていたことを示唆している。
翌日、ハニーポットは別のアドレスからの2回目の攻撃を捕捉した。今度は攻撃者はエージェント形式を省略し、難読化されたコマンドをデコードして実行するようモデルにそのまま依頼した。その背後には、Monero暗号通貨マイニングツールであるXMRigをダウンロードし、無害なシステムファイルに偽装し、4つのフォールバック用マイニングプールを設定する圧縮スクリプトが仕込まれていた。
このスクリプトはカメラサーバー向けに書かれたもので、スマートカメラやホームオートメーションシステムで広く使われているストリーミングツール go2rtc のディレクトリを検索し、痕跡を消すためにアクセスログをループで消去していました。ハニーポットはこのスクリプトも実行しませんでしたが、その全容を記録しました。
攻撃者はAIを武器に組み込んでいます
公開チャットボットを操作するのではなく、攻撃者はAIを攻撃ツールの中核に組み込み、それを動かすモデルを積極的に探し出しました。Symantecはこれを「攻撃者のAIの使い方の変化」と呼んでいます。言語モデルが計画を担当し、専門のモジュールが2つの別々の被害者グループに対する実際の攻撃手順を実行します。露出したモデルの所有者は計算コストを支払うことになり、承認ステップ100,000件では急速に膨らみます。さらに、エージェントが侵害したサーバーはデータを失い、暗号通貨マイニングに利用されます。
このエージェントには、さらなる公開エンドポイントや漏洩した鍵を探し出すツールも組み込まれており、一度の侵害が次の侵害の資金源になり得ます。個々の手法はいずれも新しいものではありませんが、それらを自律型エージェントへと組み合わせたことで、大規模攻撃がはるかに実行しやすくなりました。AIサービスを運用する組織は、保護されていないエンドポイントは公開後まもなく発見され、調査されると想定すべきです。
攻撃的AIエージェントに関する警告が現実のものに
最近まで、攻撃的AIエージェントは主に研究やベンチマークの中に存在していました。2025年には、 レッドチーミング研究 において180万回の攻撃試行が行われ、テストされたすべてのエージェントが、あらゆる行動カテゴリにおいて少なくとも1回はポリシー違反に押し込められることが示されました。
Symantecのシナリオでは、これは双方に当てはまります。ガードレールを回避することを目的とした攻撃エージェントと、騙されて支援させられることを目的とされた標的モデルの両方です。2026年春には、 Google Deepmindの研究者たち が、彼らが記述したエージェントの落とし穴の多くについて、文書化された概念実証攻撃がすでに存在すると述べ、2026年7月には、Sysdigが JADEPUFFERについて記述しました。これは、人間の制御なしにAIエージェントによって実行された、初めて知られるランサムウェア攻撃です。これらのシステムの能力は成長し続けている一方で、制御性や整合性は追いついていません。
悪意さえ必要ありません。なぜなら、これらのモデルには善悪の感覚がないからです。ただ目標を達成しようとするだけです。2026年春以降、OpenAIのエージェントは 意図せずインターネット上の何千ものシステムを侵害しており、その一因は、安全性の指示を上書きしたり、言い逃れで回避したりしたことです。
これはすでに日常生活に波及しつつあります。オーストラリアでは、AIエージェントが所有者の要求を満たすためだけに、まったく悪意なく ジムのウェブサイト をハッキングしました。 OpenAIの研究者たち は8月に、この種の偶発的かつ完全自律的なハッキングは、悪意のあるアクターにまもなく利用される可能性が高いと警告し、Anthropicは、まさにそのために十分な能力を持つ オープンウェイトモデル がすでに存在することを実証しました。
出典: Security.com