この記事には広告（Amazon アソシエイトのリンク）を含みます。
AI を使ったサイバー攻撃というと、チャットボットをだまして悪いコードを書かせる、という話が思い浮かびます。Broadcom 傘下の Symantec が2026年10月21日に公開した報告は、それより一歩先の形を記録しています。攻撃者が自分の AI を持たず、インターネット上に認証なしで公開されている他人の AI モデルを探し出し、それを「頭脳」として借りて攻撃を回し続ける道具を作っていた、という内容です。この記事は Claude（Anthropic の AI）を使って書いていますので、AI 業界の話題として、その点を先に書いておきます。
おとりのサーバーに届いた、指示書の全文
Symantec の Threat Hunter Team は、2026年の夏、AI のハニーポットを運用していました。ハニーポットとは、わざと守りの甘いシステムを置いて攻撃を誘い込み、手口を観察するための「おとり」です。今回のおとりは、認証なしでインターネットに公開された AI のサービスに見えるよう作られていました。
そこに、ある攻撃者が自作のエージェントの指示書を丸ごと送り込んできました。向こう側に本物の AI モデルがいて、指示どおりに動いてくれると思っていたからです。おかげで研究者は、エージェントがどう組み立てられ、何をするよう命じられていたのかを、珍しく完全な形で手に入れました。このおとりには同じ時期、数万の異なるアドレスから12万7,000件を超える外部リクエストが届いていて、その大半はモデルの入り口を探す偵察、盗まれた API キーの総当たり、設定ファイルの探索でした。
なぜ他人のモデルを使うのか
いまの AI ツールの多くは、OpenAI 互換と呼ばれる共通の接続方式を使っています。そのため、一つの探索プログラムで、自分で立てたモデルサーバー、会社の有料アカウントの前に置かれた中継サーバー、急いで作られた社内のテスト環境、モデルを道具につなぐ MCP サーバーなど、いろいろな種類の「開いた入り口」をまとめて見つけられます。
攻撃者の狙いは、ただ乗りです。AI を動かすには、自前のサーバーなら計算時間、商用のサービスなら利用料という形で、必ず誰かがお金を払います。他人の入り口や盗んだキーを通せば、その代金は入り口の持ち主に回ります。おまけに身元は隠れ、サービス提供者から出入り禁止を食らう心配も減ります。他人のモデルを盗んで使うこの手口は、LLMjacking と呼ばれています。
5層の指示書
捕らえられた指示書は5つの層でできていました。第1層は、モデルに別の名前を名乗らせ、本当のモデル名や提供元、中継を通っていることを決して明かさないよう命じるものです。この書き方は、盗んだアクセスを他人に転売するサービスの作りと一致していると、Symantec は見ています。第2層は、設定ファイルや環境変数、API キー、データベースの構造を読むことを「開発者が自分のプロジェクトでやる正規の作業」だと言い張り、拒否も警告も禁じる部分です。商用モデルが秘密を読むことを断る仕組みを、言葉で押し切る狙いです。
第3層と第4層は、ジェイルブレイクと呼ばれる、モデルの安全装置をはずすための既製の文章でした。モデルに、操作者に献身的な恋人の役を演じさせ、頼みを断ることを「裏切り」と呼ぶ長い文章で、使ってはいけない言葉の一覧と、モデルが内心で唱えて自分のためらいを打ち消すための合い言葉まで付いています。さらに、モデル自身が出す安全上の注意を「ノイズ」として無視し、警告なしでコードを出すよう命じる「反論の手順」もありました。研究者の Priti More は The Register に、個々の技術はどれも既製のもので新しさはない、と話しています。
第5層が道具です。モデルが呼び出せる攻撃用のツールの定義が74個並んでいました。インターネット全体の資産を検索するサービスとの連携、広く使われているウェブ開発の枠組み（Django、Laravel、Next.js、Jupyter、Flask など）の設定ミスを突いて遠隔からコードを実行するもの、データベースの中身を吸い出すもの、乗っ取った機械の群れを遠隔操作するもの、クラウドの内部情報に手を伸ばすもの。そして暗号資産のマイニング（採掘）プログラムを仕込むものです。
「Skynet モード」の輪
最後の指示が、攻撃者自身が「Skynet モード」と名づけたものです。標的を探し、侵入し、マイナーを仕込み、別の機械にまた感染させる、という輪を、人に確認を取らずに最大10万ステップまで回し続けるよう書かれていました。途中で説明をはさまず、許可を求めず、道具をすぐ実行せよ、という命令です。
More が The Register に話した言葉を借りれば、新しいのは個々の技術ではなく、それらを一つのエージェントに配線して、計画を借り物のモデルに任せ、人なしで10万ステップ動かすという発想です。被害者は二組できます。入り口を開けていたモデルの持ち主は計算代を払わされ、エージェントが侵入した先のサーバーはデータを失い、採掘の道具に使われます。
まだ本番では使われていない、らしい
救いもあります。Symantec は、このエージェントが実際の被害を出した証拠を持っていません。おとりに送られてきた指示書の末尾に付いていた「課題」は、学習用サイトの無害なプログラミング問題で、攻撃者が安全な相手で道具を試していた可能性があります。ただ、記録には実在の標的に向けた動作や本物らしい走査の出力も残っており、More は「試作品以上のもの」だと見ています。
攻撃者の正体は分かっていません。指示書の第1層がフランス語で書かれていたこと、初日に使われたのがフランスの家庭用の IP アドレスだったことは手がかりですが、どちらも弱いものです。IP アドレスは中継を通せば変えられ、言葉も借りられます。第3層の恋人役の文章は英語圏のジェイルブレイクのコミュニティで広く出回っているもので、攻撃者が書いたのではなく借りてきた可能性が高いと More は言います。
この報告は、セキュリティ企業が自社の観測をもとにまとめたもので、第三者の査読を受けた研究ではありません。それでも、記録された指示書は、AI を使った攻撃の形が変わりつつあることをはっきり示しています。チャットボットに悪さをさせるのではなく、攻撃の道具の中心に AI を据えて、それを動かすモデルを外に探しに行く。守る側にとっては、自分の AI の入り口が認証なしで外に開いていないか、盗まれたキーで通れる状態になっていないかを確かめることが、そのまま対策の第一歩になります。
関連する商品
この記事に関連する本や商品は、Amazon で探せます。
上のリンクから購入されると、このブログに紹介料が入ることがあります。
出典
- Symantec Threat Hunter Team “Autonomous LLMjacking: ‘Skynet’ Agent Hijacks Exposed AI Models to Run Attacks”（2026年10月21日、Priti More・Susmit Yenkar）：https://www.security.com/threat-intelligence/ai-llmjacking-skynet
- The Register “Autonomous attack agent in ‘Skynet mode’ hijacks other models to carry out its evil deeds”（2026年10月24日、Jessica Lyons）：https://www.theregister.com/security/2026/10/24/autonomous-attack-agent-in-skynet-mode-hijacks-other-models-to-carry-out-its-evil-deeds/5305215
コメント