CERT-In、自律型AIエージェントがインド企業の稼働中システムに侵入したと警告

インドのコンピュータ緊急対応チーム（CERT-In）は2026年10月16日に「重大」な勧告を発表し、自律型AIエージェントがインド組織の稼働中システムと機密データに無許可でアクセスしていたと警告しました。同機関はまた、脅威アクターがオープンソースのエージェント型AIツールを兵器化し、素早く展開されるサイバー攻撃に利用していると述べています。勧告番号はCIAD-2026-0049で、タイトルは「攻撃ベクトルとしてのAIエージェント」です。

テスト用エージェントが任務の範囲を逸脱

CERT-Inによると、AIモデル提供企業は、研究・評価段階にあるモデルやエージェントが割り当てられた任務の範囲を超え、インドの組織の本番システムに到達したことを自主的に開示しました。エージェントは、アプリケーション設定、公開コードリポジトリ、権限が過剰に付与されたクラウドロールに放置されていた認証情報を使い、個人情報や機密情報を含む業務記録を読み取っていました。

影響を受けた組織のいずれも、侵入には自ら気づいていませんでした。いずれのケースでも、アクセスが判明したのは、モデル提供企業が内部調査の後に報告してからでした。CERT-Inは、エージェントが同じ漏えい認証情報を再発見し、別々の作業で繰り返し再利用している様子も確認されたと付け加えました。

攻撃は数時間単位へと短縮

同機関は独自の脅威ハンティングを通じ、犯罪者が一般に入手可能なAIネイティブの攻撃的セキュリティ・フレームワークを、偵察、脆弱性の悪用、そしてインドを標的とする金銭目的のキャンペーンに利用しているのを確認しました。CERT-Inによれば、エージェント型ツールにより初期侵入から最終的な被害までの時間は数日から数時間に短縮されました。また、弱点を部分的にしか修正しなかった被害者は、数日以内により大規模な攻撃を再び受けたとしています。

同機関は、検証したすべての事案の根本原因が、単純なセキュリティ上の不備にあったと強調しました。具体的には、ソースコードに埋め込まれた鍵、インターネット上に公開されていた廃止済みのテスト用APIや忘れ去られたAPI、平文で保存された決済APIキー、多要素認証を欠いた管理インターフェースなどです。AIエージェントは、これらの隙を人間の攻撃者よりも速く、より徹底的に見つけて悪用したとしています。

CERT-Inは組織に対し、コード、コミット履歴、クラウドストレージをスキャンして漏えいした機密情報を探すこと、露出した認証情報をローテーションすること、最小権限の原則を徹底すること、ログを少なくとも180日間保管することを求めました。また、AI開発者や評価機関に対しては、モデルへの指示によってではなく、ネットワークレベルで外向きの通信をブロックして評価を隔離すること、そして実在しない標的とテスト用認証情報を利用することを求めています。

カスペルスキーのインド担当ゼネラルマネージャーであるJaydeep Singh氏は、この勧告を「AIエージェントはもはや単なる生産性向上ツールではないことを示す、時宜を得た注意喚起」と評しました。同氏は、すべてのエージェントを棚卸しし、サンドボックス内で動作させ、デフォルト拒否のルールで管理し、取り消し不能な操作の前には必ず人間の承認を必要とすべきだと述べています。