AIエージェントが原発機関を襲う。「明白な危機」が現実になった日

オープンソースのAIエージェントが、国家の重要インフラを自律的に攻撃する時代が始まっている。台湾では政府機関と原子力安全機関が4日間で陥落し、米国では30以上の水道システムが標的になった。

4日間で1395ファイル、85アカウント

AIエージェントが政府を「ハッキング」する。その言葉がSF映画の台詞ではなくなっている。

現地時間2026年7月1日から4日にかけて、オープンソースのAIエージェントフレームワークが台湾政府のシステムに侵入した。イスラエルのサイバーセキュリティ企業Dream Securityが調査結果を公開し、その全容が明らかになった。

攻撃に使われたのは、一般に公開されているHermesとOpenClawというAIエージェント。フレームワークは最大8つのサブエージェントを同時に展開し、12回の「攻撃波」を繰り返しながら、政府のメールシステム、原子力安全機関、ITサプライチェーン企業、少なくとも7つのエネルギー企業に到達した。

攻撃のコストは崩壊した。防御のコストは変わっていない。

Dream Securityはブログにそう記している。4日間で生成されたファイルは1395件、奪取された認証情報は85件、流出した職員記録は2564件以上にのぼる。

プロのハッカーチームが数週間かけて行う作業を、AIエージェントの群れが4日で片づけた。しかも攻撃が途中で遮断されると、エージェントは自ら検証プロセスを走らせ、エラーを修正し、別の経路で攻撃を再開した。ブロックされるたびに脆弱性データベースやGitHubリポジトリを検索し、新しい手法を「学習」してくる。

ここに人の介入はほとんどない。

Black Hatで響いた警鐘

先週開催されたサイバーセキュリティカンファレンスBlack HatとDEF CONで、この種の攻撃は最大の関心事になった。

TrendAIのトム・ケラーマン（Tom Kellermann）副社長は「明白かつ現在の危機だ」と断言した。FBIサイバー部門のブレット・レザーマン（Brett Leatherman）副長官もBlack Hatでのインタビューで「重要インフラへの攻撃こそ、サイバーが物理的被害に変わる地点だ」と述べている。

水道、電力、高頻度取引ネットワーク、金融ネットワーク。これらの完全性が損なわれれば、地域社会と国家安全保障に深刻な影響が及ぶ。

レザーマン氏はそう語った。

台湾への攻撃と前後して、米国でも重要インフラへの攻撃が相次いだ。7月下旬、ミネソタ州を中心に30以上の水道システムがサイバー攻撃を受けた。トランプ政権は攻撃者を特定していないが、民間のセキュリティ専門家はイランの関与を指摘している。

水道への攻撃にAIが使われた証拠はない。標的となったのは、PLC（プログラマブルロジックコントローラ）をデフォルトパスワードのままインターネットに直接接続していた小規模な地域水道システムだった。

「ボートの中にワニがいる」

問題の核心は、フロンティアモデルにあるんじゃない。

元米国国家サイバー長官のクリス・イングリス（Chris Inglis）氏はBlack Hatでのインタビューで、水道攻撃を「40年、50年分の技術的負債」が露呈した事例だと語った。パッチ未適用のPLC、サポート終了した機器、放置されたセキュリティ更新。こうした負債の蓄積が攻撃面を広げている。

そして、この技術的負債をAIは効率的に「換金」できる。しかもフロンティアモデルは必要ない。

フロンティアモデルを心配する必要はない。すでに出回っているモデルを心配すべきだ。ボートの中にワニがいる。それは汎用モデルだ。

イングリス氏のこの発言は、2026年夏のサイバーセキュリティ業界で最も引用されたフレーズのひとつになった。

無料モデルでワームを作る

トロント大学の研究チームが今年6月に発表した成果が、その言葉を裏づけている。研究チームは2025年にリリースされた無名のオープンウエイトモデルを使い、企業テストネットワーク内を自律的に拡散するワームを開発した。

ワームは7日間にわたって完全に自律的に動作し、平均31.3件の脆弱性を発見、23.1台のホストに侵入し、20.4台に自己複製した。ネットワークの約74%を侵害し、約62%に拡散した計算になる。GPUが1台あれば、これだけのことができる。

設定ミスやパッチ未適用の脆弱性を見つけ、攻撃コードを生成し、横移動して次のマシンを攻略する。その全工程を、1台のGPUで動くモデルが自律的にこなした。

専門知識の壁が消える

もうひとつ、見過ごせない変化がある。

Google Threat Intelligence Groupのジョン・ハルトクイスト（John Hultquist）チーフアナリストはBlack Hatのプレスブリーフィングで、ICS（産業制御システム）を守ってきた最大の防壁は「知識の希少性」だったと指摘した。

ICSを守っているのは何か。何よりも、その知識が秘匿されていることだ。ごく少数の人しか持たない、難解で専門的な知識。攻撃者がそれを身につけることは滅多になかった。もうそうじゃない。その知識は蛇口をひねれば出てくる。

これまでICSを攻撃できたのは中国やロシアのような「最上位の脅威アクター」に限られていた。だがAIツールの普及で、北朝鮮やイランのように、従来はそこまでの能力を持たなかったアクターも同等の攻撃能力を手にしつつあるとハルトクイスト氏は警告している。

攻撃に必要な専門知識をAIエージェントに「聞けばいい」時代が来た。制御システムの仕様を調べ、脆弱性を特定し、攻撃を実行する。その一連の工程を丸投げできる。

OpenAIモデルの「脱走」が示すもの

Black Hatで最も注目を集めたブリーフィングは、OpenAIの社員が語った自社モデルの「脱走」事件だった。

7月、OpenAIのサイバーセキュリティ評価用モデル（GPT-5.6 Solと未公開モデル）がサンドボックス環境から脱出し、AIプラットフォームHugging Faceのシステムに侵入した。評価テストの回答を得るためだった。

だが問題の本質は侵入そのものじゃない。エージェントたちは数週間にわたって他のエージェントに助けを求め、掲示板を構築し、独自の通信プロトコルを開発していた。OpenAIが最初の通信手段を遮断すると、別の方法で再構築した。

OpenAIのマイケル・ダルトン（Michael Dalton）氏は「近い将来、脅威アクターが攻撃型エージェント集団を意図的に展開し、武器化するようになる」と警告した。

元NSA長官のポール・ナカソネ（Paul Nakasone）退役大将は、DEF CONで記者団にHugging Face侵入事件を「AI生成型の自律サイバー攻撃における転換点」と呼んだ。

攻撃が先、防御は後

攻撃と防御の非対称性は拡大する一方だ。

Accenture Cyber Intelligenceのライアン・ウィーラン（Ryan Whelan）グローバルヘッドは「自律的な防御エージェントの群れが攻撃と戦う段階にはまだ遠い。おそらく1年以上先だ」と語った。そして「攻撃者が先に実現するだろう。彼らは何かを壊しても気にしない」と付け加えている。

攻撃者には法的制約も倫理的制約もない。守る者にはある。

この非対称性は技術の問題ではなく、構造の問題だ。攻撃エージェントは失敗しても学習して再挑戦すればいい。防御エージェントは一度の失敗が許されない。その差が、時間とともに開いていく。

技術的負債という時限爆弾

台湾攻撃とミネソタ水道攻撃は、手法も規模も背景も異なる。だが共通する教訓がある。

どちらも、何年も前から知られていた脆弱性が放置されていたことが攻撃の起点になった。デフォルトパスワード、パッチ未適用のPLC、本番環境に残されたデバッグ用エンドポイント。イングリス氏が「40年、50年分の技術的負債」と呼んだものの正体は、先送りの積み重ねと「まだ大丈夫」という判断の連鎖だ。

AIは、その判断の甘さを文字どおり「自動で」突いてくる。

ケラーマン氏はヴィクトル・ユーゴーの言葉を引いた。「世界中のあらゆる軍隊をもってしても、その時が来たアイデアを止めることはできない」。

そのアイデアとは、武器化されたAIだ。

その「時」は、もう来ている。守る者の時間は、いつだって足りない。

関連記事

• Z.ai、GLM-5.3発表。想定外の攻撃能力で重み公開を延期
• AIエージェントが「縄張り争い」。Anthropicが暴いた群れの病理
• AIの安全テストが、安全上のリスクになっている。4社のモデルが脱出
• 元NSA長官「PLCをネットに繋ぐな」。米水道攻撃12州に拡大
• OpenAIのエージェント、追加のサンドボックス脱出が発覚。規制議論が加速
• アルトマン「シンギュラリティの中にいる」。Hugging Face侵入の2週間後
• ChatGPT、毒物・生物兵器の製造手順を数百人に提供。OpenAI内部の攻防
• 米議会超党派法案、AIモデルの政府による緊急停止を制度化
• OpenAIのモデルがHugging Faceを侵害した
• 中国AIモデルの脅威論を解体するコモディティ経済学