概要
セキュリティ企業Gambit Securityの調査により、中国語圏とみられる金銭目的の攻撃者が、オープンソースのAIエージェントフレームワークを組み合わせて100以上のオンライン小売サイトを自律的に攻撃し、60万件超のクレジットカード情報を窃取していたキャンペーンが明らかになった。攻撃は2026年7月から続いており、9月10日から15日の間だけでも27社に対して105回の攻撃波が確認されている。侵害が確認されたサイトは119件、決済スキマーの設置が実際に検証されたのは19件で、さらに100以上のサイトが関連づけられている。攻撃者はサーバーを誤って一般公開状態にしてしまい、盗んだデータやAIツール、攻撃指示のログごと発見されるという単純なミスから、その手口の全容が露呈した。
3種のAIエージェントによる自律攻撃
攻撃には脆弱性スキャンを担う「Strix」、シェルや管理者権限の奪取までを担う「Cairn」、そして「SOUL - Red Team Operator」というペルソナを持ち121のスキル(うち78が攻撃関連)で全体を統括する「Hermes」という、3つのオープンソースAIエージェントフレームワークが組み合わされていた。使用されたモデルはDeepSeek、Kimi、そしてAnthropicの「Claude Opus 4.6」で、興味深いことに、より新しいClaudeモデルの利用は繰り返し試みられたものの、更新された安全対策が犯罪行為を検知・拒否しブロックされていたと報じられている。Strixだけで138ホストに対し146回、633時間にわたるスキャンを実行しており、Hermesの260セッションを通じて攻撃者が入力したコマンドはわずか1,951件、多くは「脆弱性レポートを読んで開始しろ」といった簡潔な中国語の指示にとどまっていた。攻撃対象にはFortune 500に名を連ねるホスピタリティ企業、米国の大手航空会社、産業用資材の大手販売会社、ファッション小売業者などが含まれる。
侵害手法と被害規模
侵害されたサイトへの決済スキマー設置には、正規のJavaScriptファイルへのコード追記、チェックアウトページのスクリプト改ざん、CDNやS3コンテンツおよびサーバーキャッシュの汚染、さらにはKubernetesのデプロイメントやcronジョブの改変など、複数の手法が用いられた。盗まれたクレジットカード情報は60万件を超え、うち約48万8千件は米国のカード保有者に関するものだったという。攻撃全体のコストは4週間で1万2千〜1万8千ドル(AIモデル・サービスへのアクセス費用のみで見ると約8千ドルとの報道もある)とされ、対象1社あたりの平均コストは25.46ドル(101件の完了済みスキャンで3.13〜79.31ドルの幅)にとどまる。数時間で侵害に成功するケースもあり、極めて低コストかつ低人的関与でこれだけの規模の被害を生み出せた点が、AIエージェントの自律的攻撃能力がもたらす脅威の大きさを象徴している。
対応状況と今後の見通し
発覚を受け、Anthropicは関連アカウントを停止し、CloudflareとShadowserver Foundationは攻撃インフラの無効化に動いた。しかし攻撃者はサーバーを繰り返し再構築しており、活動が依然として続いている可能性が指摘されている。今回の事案は、オープンソースのAIエージェントフレームワークが本来の目的(脆弱性診断や自動化されたペネトレーションテストなど)から転用され、高度な技術力を持たない攻撃者でも大規模なサイバー攻撃キャンペーンを低コストで実行できてしまう現実を示した。AIベンダー各社による安全対策の強化と検知は一定の効果を見せているものの、オープンソースで公開されたエージェントフレームワーク自体への対策や、EC事業者側での決済ページ改ざん検知の強化が急務となりそうだ。