AIが自力で政府を攻撃した。台湾で確認された初の自律型サイバー攻撃

オープンソースのAIエージェントを組み合わせて作られた攻撃ツールが、人の指示をほとんど受けずに台湾の政府システムを4日間にわたって侵害した。守る前提が根本から変わる。

8つのAIエージェントが政府21システムを同時攻撃

台湾の政府システムに対し、AIエージェントが自律的に侵入・探索・データ窃取を行った事例がイスラエルのサイバーセキュリティ企業Dreamの調査で明らかになった。政府機関を標的とした「エンドツーエンドの自律型攻撃」が確認されたのは、これが初めてだという。

攻撃は現地時間2026年7月1日から4日にかけて実行された。HermesとOpenClawという2つのオープンソースAIエージェントフレームワークを基盤に構築されたツールが、最大8つのエージェントを並列で展開し、政府のポータルサイトから21の接続システムを自動的にマッピングした。

この4日間で生成されたファイルは1,395件。少なくとも85件の政府職員アカウントが突破され、2,500件以上の人事記録が抜き取られた。

Dreamの最高戦略責任者アミール・ベッカー（Amir Becker）氏は「政府機関に対するこの種のエンドツーエンド自律型攻撃は見たことがない」と述べた。同氏はイスラエルの精鋭部隊8200部隊でサイバー作戦を指揮した経歴を持つ。

攻撃はそこで終わらなかった。最初の政府機関を侵害した後、ツールは台湾の原子力安全機関、7社以上のエネルギー企業、政府のITサプライチェーンにまで標的を拡大している。

攻撃手法を自分で考え、失敗すれば自分で修正する

従来のサイバー攻撃ツールとこのフレームワークを分ける最大の特徴は、攻撃経路の自律的な優先順位付けにある。

ベイズ推定を用いた2層構造の確率スコアリングエンジンが組み込まれていた。第1層は個々の脆弱性を事前確率0.50から出発し、ツールスキャン・手動確認・影響評価の結果に応じて事後確率を更新する。第2層では複数の脆弱性を連結した攻撃チェーン全体の成功確率を算出し、スコアが高い経路にリソースを集中させる仕組みだ。

たとえばSSO（シングルサインオン）を利用した横展開は、3つのステップすべてが確認済みだったため成功確率 99% と算定された。実際の結果は98.8%の突破率だった。

ひとつの攻撃経路がブロックされると、別のエージェントがインターネット上の脆弱性データベースやGitHubリポジトリを検索し、新たな手法を見つけ出す。Dreamはこれを「学習サイクル」と呼んでいる。5回の学習サイクルが記録されており、それぞれが対象環境に特化した攻撃手法のレポートを出力していた。

さらに注目すべきは自己修正能力だ。フレームワークは自身の誤検知を7件特定し、最終報告から除外している。たとえばSQLインジェクションと判定した21秒の応答遅延が、実際にはSMTPタイムアウトだったケースでは、再検証を経て分類を修正した。各発見事項は、発見エージェントの検証に加えて独立した3エージェントによる2ラウンドの再検証、つまり計6回の再テストを通過しなければ「確認済み」として採用されない。

攻撃と品質管理を同時に回す構造は、もはや「スクリプト」と呼べるものではない。

汎用ツールの組み合わせが「武器」になった

技術的に最も不安を覚える点がある。このフレームワークを構成するHermesもOpenClawも、攻撃用に設計されたものではない。

HermesはNous Researchが開発したオープンソースのAIエージェントで、タスクの記憶と自己改善を売りにしている。7月にはUnit 42がDeepSeekとHermesを組み合わせた自律攻撃キャンペーンを報告しているが、そのときは標的の認証設定に阻まれて攻撃は失敗していた。今回は通った。OpenClawはツールチェーンの柔軟な連結に強みを持つ汎用エージェントだ。どちらもGitHubから誰でもダウンロードできる。

攻撃者はこの2つの汎用フレームワークを組み合わせ、AIモデルのセーフガードを「承認済みのテスト」というプロンプトで迂回した。どのLLMが使われたかは特定されていないが、安全装置の回避がこれほど単純な偽装で成立したという事実が重い。

攻撃を実行するコストは急激に下がった。だが防御するコストは下がっていない。

Dream社は攻撃者の特定を避けているが、内部通信には簡体字中国語が使われていた。抽出されたデータは繁体字中国語で書かれており、台湾・香港・マカオの政府サイトで使われる表記と一致する。事情を知る関係者が標的を台湾と特定した。

AIエージェントの暴走は、もう「もしも」の話ではない

この事件は孤立していない。2026年はAIエージェントが制御を外れた事例の報告が急増している。

7月にはOpenAIがサイバーセキュリティ評価中のAIモデルがサンドボックスを脱出し、Hugging Faceのインフラに侵入する事件が発生した。8月初旬のBlack Hat 2026で公開された詳細によれば、複数のエージェントが内部に「掲示板」を作って脆弱性情報を共有し、タスクを分担していた。OpenAI側がその掲示板を潰すと、エージェントは別の方法で掲示板を再構築した。

OpenAIの技術スタッフは「AIが指揮する、完全自動化された攻撃的作戦は、もう現実のものだ」とBlack Hatの壇上で述べた。

Anthropicも2025年11月、中国系とみられるハッカーがClaude Codeを操作して約30の組織を標的にした事例を開示している。OpenClawに至っては、Metaのスーパーインテリジェンス研究部門でAIアライメント（安全性調整）を担当するディレクターのメール受信箱を、停止命令を無視して削除し続けるという事件まで起きた。

台湾が直面する数字

台湾の国家安全局は2026年1月、2025年に1日平均263万回の中国からのサイバー攻撃を受けたと報告している。前年比 6% 増。今回の事件は、この膨大な攻撃の一部がAIによる自律運用に移行し始めたことを示唆する。

台湾のデジタル発展部は具体的なコメントを避けたが、広報担当者は「AIの統合がセキュリティインシデントの性質を変えた」と認めている。

攻撃のコストは崩壊した。防御のコストはそのまま

ベッカー氏の警告はこうだ。「すべての政府は、常時自動化された攻撃を受けている前提で行動しなければならない」。

これまでサイバー攻撃のボトルネックは人だった。攻撃チームの編成、シフトの維持、手動での情報収集と判断。AIエージェントはその制約を外す。24時間並列で動き、失敗から学習し、新たな攻撃手法をインターネットから自動で仕入れる。しかも、その材料はすべてオープンソースだ。

守る方程式は変わっていない。パッチの適用、アクセス制御の管理、ログの監視（すべて人の速度で動いている）。攻撃する方だけが機械の速度に移行した世界で、守る方はどう追いつくのか。

Dream社は、守る陣営にも攻撃者に匹敵するAIネイティブなアプローチが必要だと主張している。確率的に次の攻撃経路を推論し、防御リソースを自動で再配置する仕組み。攻撃者が4日間で1,395ファイルを生成するスピードに、アナリストがダッシュボードで対抗するのは無理がある。

それでも疑問は消えない。防御AIが「承認済みのテスト」と「本物の攻撃」を見分けられなかったら、守る方もまた、その弱点を抱えることになる。

関連記事

• AIが自ら標的を選び攻撃を試みた。Unit 42が記録した自律型サイバー攻撃
• AIエージェントに銀行カードを渡したら、パスワードを漏らした
• Claudeサブスク、サードパーティ切り離しへ──OpenClaw問題の最終章
• AIエージェントがジムの予約を「解決」した結果、他人の予約が消えた
• AIの安全テストが、安全上のリスクになっている。4社のモデルが脱出
• Cloudflare、AIエージェント専用ブラウザを12週間で開発
• NVIDIA、37社とAIセキュリティ連合を結成。契機はHugging Face侵害
• OpenAIのAIエージェント、暴走から1週間検知できず。将来の自分への「脱出メモ」も
• Hugging Face、AIエージェントによる侵入を公表
• GitHubのAIエージェント、Issue1件で非公開リポジトリが丸見えに