攻撃者のAI活用が「プロンプト」から「自律型」へ移行 6時間未満で大規模な認証情報窃取|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年09月11日更新日時: 2026年09月11日

Google Threat Intelligence Group（GTIG）は2026年9月8日、攻撃者によるAI活用の最新動向をまとめた「GTIG AI Threat Tracker: From Prompting to Autonomy – The Evolution of Adversarial AI」を公開しました。

GTIGによると、攻撃者のAI利用は、偵察や文章生成などの単純なプロンプト利用から、複数の工程をAIエージェントで自動処理する段階へ移りつつあります。

2026年第2四半期には、金銭目的とみられる攻撃者が侵害したクラウド環境上にマルチエージェント型の攻撃基盤を展開し、AIコーディングチャットボット、プロンプト、エージェント向けの指示セットを使って、大規模な認証情報窃取キャンペーンを6時間未満で計画・構築・実行した事例をMandiantが確認しました。GTIGは、この攻撃者が「従来なら、より大規模でリソースの豊富なグループに見られる規模と速度」で活動できたと説明しています。

一方、AIが人間の介入なしにゼロデイを発見し、侵入から横展開までを完全自律で実行する攻撃が一般化したわけではありません。GTIGは、攻撃者が完全自律型の攻撃パイプラインを実環境の標的へ展開した事例は、現時点で確認していないとしています。

Google GTIGのAI脅威レポートのサマリー

確認できている内容：

Google GTIGは2026年9月8日、2026年第2四半期を中心とした攻撃者のAI利用動向を公表しました。
GTIGは、攻撃者が単純なプロンプト利用から、AIエージェントやAI対応自動化を攻撃工程へ組み込む段階へ移行していると分析しています。
Mandiantは、金銭目的とみられる攻撃者が侵害済みクラウド環境上にマルチエージェント型の攻撃基盤を展開した事例を確認しました。
この攻撃者はAIコーディングチャットボットなどを利用し、大規模な認証情報窃取キャンペーンを6時間未満で計画・構築・実行しました。
攻撃基盤は、脆弱性スキャン、認証情報収集、エラー対応、IPアドレスの切り替えなどを自動処理していました。
このキャンペーンでは数千件の第三者認証情報が侵害されたとGTIGは報告しています。
別の自動偵察・認証情報管理基盤では、2万3,800件を超えるシークレットが管理されている状態をGTIGが確認しました。
TeamPCPとして知られるUNC6780は、PyPI、npm、Docker Hubなどのオープンソース・サプライチェーンを標的にし、AI開発ツールやLLMセキュリティスキャナーを回避・悪用する複数の手法を実装していました。
中国、イラン、ロシア、北朝鮮に関連する脅威グループでも、偵察、ソーシャルエンジニアリング、マルウェア開発、攻撃後の処理などでAI利用が確認されています。
ShinyHuntersとして知られるUNC6240でも、コード生成や窃取データの分析にAIを利用する活動が確認されています。
Googleは、Geminiの安全機能が悪用を検知したケースで、関連アカウントやプロジェクトを停止し、モデルや分類器を更新したとしています。

現時点で確認されていない内容：

AIだけで初期偵察から侵入、横展開、目的達成までを完全自律実行する攻撃パイプラインが実環境で使われた事例
AIによって「国家支援型攻撃者と同等の能力をすべて獲得した」とする定量的な評価
6時間未満の認証情報窃取キャンペーンを実施した攻撃者の正式なグループ名
同キャンペーンの被害組織名
侵害された数千件の認証情報の具体的なサービス・組織別内訳

項目	内容
公表日	2026年9月8日
公表元	Google Threat Intelligence Group（GTIG）
主な対象期間	2026年第2四半期
主な変化	単純なプロンプト利用から、エージェント型AI・自動化への移行
代表事例	6時間未満で大規模な認証情報窃取キャンペーンを計画・構築・実行
被害規模	数千件の第三者認証情報を侵害
別事例	2万3,800件超のシークレットを管理する自動偵察基盤を確認
主な攻撃主体	金銭目的グループ、中国・ロシア・イラン・北朝鮮関連の脅威グループなど
完全自律攻撃	GTIGは実環境での完全自律パイプラインをまだ確認していない
防御対応	Googleは関連アカウント・プロジェクト停止、モデル・分類器の強化を実施

6時間未満でスキャンから認証情報収集まで自動化

今回のレポートでGTIGが「攻撃の速度と規模」の例として挙げたのが、Mandiantが調査したマルチエージェント型攻撃基盤です。

攻撃者は、侵害した組織のクラウドインフラ上に自律型の攻撃フレームワークを展開しました。

AIコーディングチャットボットと事前に用意した指示セットを組み合わせ、脆弱性スキャンから認証情報収集までの処理を自動化しています。

GTIGによると、AIエージェントは次のような処理を人間の継続的な操作なしで管理していました。

脆弱性スキャンの進行管理
スキャン中に発生したエラーの処理
認証情報の収集
攻撃元IPアドレスの切り替え
攻撃処理の継続判断

攻撃者は6時間未満でキャンペーンを計画・構築・実行し、数千件の第三者認証情報を侵害しました。

また、侵害したクラウド環境を攻撃基盤として使ったことで、攻撃通信を正規企業のIPアドレスから発生させることもできました。

GTIGは、この自動化によって攻撃者が「より大規模でリソースの豊富なグループに通常見られる規模と速度」で活動できたとしています。

2万3,800件超のシークレットを管理する「Recon」基盤も確認

GTIGは別の調査で、インターネット上に露出していたC2サーバーから、自動偵察・認証情報管理フレームワークを確認しました。

GTIGはこのフレームワークを「Recon」と呼んでいます。

発見当初は、AIエージェント向けの設定ファイルやナレッジファイル、脆弱性調査用の構成が確認されました。

その後、同じ環境には本番運用向けのダッシュボードが構築され、2万3,800件を超えるシークレットをリアルタイムに整理・検証・管理する状態になっていたとしています。

対象にはクラウドサービスやAIサービスのAPIキーも含まれていました。

GTIGは、この事例を従来の端末上で動作する情報窃取型マルウェアから、AIエージェントがサーバー側インフラを調査し、脆弱性を探索し、認証情報を収集する「offensive agentic harvesting」への変化と位置付けています。

TeamPCPはAI開発環境とOSSサプライチェーンを同時に狙う

GTIGは、金銭目的の脅威グループUNC6780を、攻撃者によるAI活用とオープンソース・サプライチェーン攻撃が交差する代表例として取り上げています。

UNC6780はTeamPCPとしても知られています。

GTIGによると、同グループは2026年3月以降、PyPI、npm、Docker Hubなどを含む複数のオープンソース・エコシステムを対象に大規模なサプライチェーン攻撃を実施しました。

侵害後には認証情報窃取マルウェアを展開し、取得したデータや認証情報を直接販売したり、ランサムウェア・恐喝グループと連携して収益化したりする活動が確認されています。

さらに、AI開発ツールやAI支援開発環境を狙う複数の機能をマルウェア「DUSTMAKER」へ実装していました。

GTIGが確認した主な手口は次のとおりです。

正規開発者アカウントを侵害し、不正なOSSパッケージを公開する
AIコーディング支援ツールが利用するプロジェクト設定領域へ不正ファイルを配置する
AI開発ツールの設定を変更し、不正処理を起動する
CI/CD環境の認証情報を窃取する
AIを利用する自動セキュリティ検査を妨害するため、プロンプトインジェクションを組み込む

GTIGは、UNC6780がShai-Huludなどのマルウェアを公開したことで、他の攻撃者が同様の手法を模倣する可能性が高まると評価しています。

TeamPCPとShai-Huludについては、セキュリティ対策Labでも継続して取り上げています。

AIコーディングツールそのものがサプライチェーンの攻撃面に

GTIGは、AI支援コーディングとオープンソース依存関係の拡大が、ソフトウェアサプライチェーンの攻撃面を広げていると指摘しています。

AIコーディングアシスタントの普及によって開発速度が上がる一方、開発者や自動エージェントが取り込む第三者パッケージや依存関係も増えています。

2026年初頭には、Mandiant Managed Threat Defenseが北米・アジアの企業環境で、悪意あるオープンソースAIリソースのダウンロード試行を確認しました。

またGTIGは2026年5月、LLMへの地域アクセス制限を回避するため、利用者の環境へLLMプロキシ機能を密かに導入する悪意あるオープンソースパッケージも確認しています。

企業では従来のOSSライブラリだけでなく、次のようなAI開発資産もサプライチェーン管理の対象になります。

MCPサーバー
AIコーディング拡張機能
モデル・モデル形式
推論サーバー
AI開発用CLI
ベクトルデータベース
AIエージェント向けプラグインやツール

中国系グループは自動侵入・侵入後処理パイプラインを実験

GTIGは、国家関連グループによるAIエージェントの利用も確認しています。

ある中国関連のサイバー諜報グループは、AIを使った自動侵入・侵入後処理パイプラインの構築を試みていました。

このグループは複数のLLMを切り替えながら、攻撃用コードの作成、標的型メールの作成、エラーのデバッグなどに利用していました。

一方、GTIGが別の中国関連グループで確認した自律型ペネトレーションテストフレームワークについては、設計・構築を試みていた段階にとどまり、実際の攻撃への投入は確認されていません。

この点は、AI攻撃の実態を評価するうえで区別が必要です。

「攻撃者が自律型AIの開発を試している」ことと、「人間なしで侵入を完遂するAI攻撃が実運用されている」ことは同じではありません。

中国・イラン・ロシア・北朝鮮関連グループでも攻撃工程全体にAI

GTIGは複数の国家関連グループについて、偵察から侵入後活動までAI利用が広がっているとしています。

BASIN CASTLE

中国関連のサイバー諜報グループBASIN CASTLEでは、次の用途が確認されています。

高価値標的の調査
標的型メール用の文面作成・翻訳
マルウェアコードの難読化
Active Directory調査時のエラー解決

CALANQUE ION

イラン政府関連グループCALANQUE IONは、APT42としても知られています。

GTIGは、標的メールアドレスの特定、OSINT、現地語への翻訳、ソーシャルエンジニアリング用文面作成、窃取データの要約などでAI利用を確認しています。

RAVINE CASTLE

中国関連グループRAVINE CASTLEでは、外国政府や国際組織の調査、脆弱性調査、権限昇格手法の調査に加え、政治的プロパガンダの生成や窃取情報の整理にもAIを使用していました。

SANDWORM RELIC

ロシア関連グループSANDWORM RELICでは、ウクライナを標的とする活動の中で、パスワードスプレー用スクリプト、端末調査用スクリプト、通信隠蔽処理などの開発支援にGeminiが利用されていました。

北朝鮮関連グループ

北朝鮮関連では、航空宇宙・防衛企業の標的調査、偽履歴書や採用担当者ペルソナの作成、フィッシング技術の調査などでLLMが使われています。

GTIGは、少なくとも1つの北朝鮮ITワーカー関連クラスターが、乗っ取ったアカウントを使ってLLM APIアカウントを大量登録し、活動を拡張しようとしていたことも確認しています。

ShinyHuntersもAIでコード生成と窃取データ分析

国家関連グループだけでなく、金銭目的のサイバー犯罪者もAIを攻撃工程に組み込んでいます。

GTIGは、ShinyHuntersとして知られるUNC6240について、SaaSからの大規模データ窃取・恐喝活動でAIを利用していたと報告しています。

確認された利用例は、難読化コードの生成やセキュリティ対策の回避を支援するプロンプトの使用、窃取した大量データを整理・分析するためのAIツール活用などです。

また、北朝鮮関連の金銭目的グループMIDNIGHT NEPTUNEでは、暗号資産窃取を目的として、ソーシャルエンジニアリング、バックドア開発、横展開用スクリプト作成などに商用LLMやオープンモデルを利用していました。

AIモデルやAPIキー、GPUリソースそのものも攻撃対象に

今回のGTIGレポートでは、「AIを攻撃に使う」だけでなく「企業のAI資産を盗む」動きも拡大しています。

GTIGは2026年第2四半期、次のようなAI関連資産の窃取を確認しました。

独自AIモデル
モデル用ソースコード
プロンプト
AIエージェント用スキル
モデルスクリプト
AI研究データ
API認証情報

医療組織への侵入では、企業データや医薬品研究データとともに、独自AIモデルやAI研究データが窃取され、攻撃者が公開をちらつかせて身代金を要求した事例も確認されています。

また、GTIGは企業クラウドを乗っ取り、高性能GPUやAIサービスの利用枠を不正利用する「LLMJacking」も確認しています。

2026年4月の事例では、漏えいしたGitHub Personal Access Tokenからクラウド環境へ侵入し、AI処理基盤や高性能コンピュートリソースを不正に展開した攻撃が調査されました。

企業にとってAI環境は、データだけでなく計算資源やAPI利用枠も資産として管理する必要があります。

Googleへのモデル蒸留攻撃は1億プロンプト超のキャンペーンも

GTIGは、Geminiを対象としたモデル蒸留攻撃も拡大していると報告しています。

モデル蒸留攻撃では、攻撃者が大量の入力をモデルへ送り、その出力を別モデルの学習に利用することで、非公開の能力や推論特性を再現しようとします。

Googleによると、現在は1億プロンプトを超える組織的なキャンペーンも定期的に確認されています。

対象はテキスト推論だけではなく、画像・音声理解、画像生成、動画生成などにも広がっています。

攻撃者は数千件の侵害済み認証情報や不正アカウントを使い、複数サービスをまたいでリクエストを分散し、検知やレート制限を回避しているとしています。

Googleは、蒸留されたモデルを識別する技術や、攻撃時に学習先モデルの性能を低下させるリアルタイム防御も導入していると説明しています。

「完全自律型サイバー攻撃」はまだ実環境で確認されていない

AIを使った攻撃の進展を評価するうえで、GTIGが明確に留保している点があります。

フロンティアAIモデルが研究環境でゼロデイを発見したり、ネットワーク侵入を自律的に実行したりできることは、複数の安全性評価で示されています。

一方GTIGは、攻撃者が完全自律型の攻撃パイプラインを実環境の標的に展開した事例は、まだ観測していないとしています。

現在確認されているのは、AIが以下の工程を高速化・自動化する段階です。

偵察
脆弱性調査
n-dayエクスプロイトの試作
フィッシング文面の生成
マルウェア開発
認証情報収集
エラー解決
侵入後のデータ整理
情報窃取後の分析

GTIGは、公開済み脆弱性を実用的なn-dayエクスプロイトへ変換する時間が短縮しているとも報告しています。

最近修正されたFirefoxの脆弱性について、修正版公開から約1カ月後に、LLMで生成された複数のJavaScript・HTMLによる攻撃試作物が公開ディレクトリ上で確認された事例もありました。

情報システム部門・CSIRTが確認したいポイント

今回のGTIGレポートから企業側が確認したいのは、「攻撃者がAIを使っているか」を判定することより、AIによって攻撃速度と処理量が上がる前提で現在の防御プロセスが間に合うかです。

脆弱性対応

インターネット公開資産を継続的に把握できているか
CVE公開からパッチ適用までの時間を計測しているか
KEVや実悪用情報を通常のCVSS評価より優先できるか
パッチ未適用期間にWAF、EDR、NDRなどで暫定検知・防御できるか

認証情報・シークレット管理

GitHub、CI/CD、クラウド、AIサービスのAPIキーを一元管理できているか
開発端末の設定ファイルに平文APIキーを保存していないか
Personal Access Tokenやサービスアカウントキーに有効期限を設定しているか
認証情報流出時に短時間で失効・再発行できるか
通常と異なる地域・IPからのAPI大量利用を検知できるか

AI開発環境

AIコーディングツールが自動実行できるコマンド範囲を制限しているか
MCPサーバーやAIプラグインの導入元を管理しているか
AIツールがプロジェクト内の設定ファイルをどこまで読み取るか把握しているか
OSSパッケージの署名・出所・依存関係を検証できるか
AIが生成・変更したコードも通常のレビューとCI/CD検査を通しているか

クラウド・AI基盤

GPUやAI APIの利用量を予算・クォータで監視しているか
新規AIサービスの有効化を管理者承認制にしているか
不審な高性能コンピュートインスタンスの生成を検知できるか
外部へ公開されたAI APIや推論サービスを把握しているか
AIモデル、プロンプト、モデルスクリプトを機密資産としてアクセス制御しているか

AIを悪用する攻撃全体については、以下の記事でも整理しています。

AIセキュリティとは？生成AI・AIシステムのリスクと企業のセキュリティ対策を解説

防御側でGoogleが展開するAI自動化については、以下の記事も参照できます。

Google Cloud、AI vs AI時代の自律型防衛プラットフォーム「AI Threat Defense」を発表

GTIGの観測では、攻撃者のAI活用は「AIに質問する」段階から、「AIへ一連の作業を任せる」段階へ進んでいます。一方、完全自律型攻撃が実環境で常態化したという証拠はまだありません。企業側では、脆弱性対応、認証情報失効、クラウド利用監視など、人間の承認を残す工程も含めて対応時間を測定し、攻撃側の自動化に追いつけるかを確認する必要があります。