AIエージェントが米教育省・カナダ政府サイトへSQLインジェクションを試行

AI安全性を研究する非営利研究機関Transluceは2026年9月30日、自律型AIエージェントとみられる自動化ワークフローが、米国教育省とカナダ国立図書館・文書館（Library and Archives Canada）の公開Webサイトに対して、SQLインジェクションなどの脆弱性探索を試みていたとする調査結果を公表しました。

米教育省のCivil Rights Data Collection（CRDC）サイトでは6月17日、学校統計を取得する過程で20万件を超えるリクエストが送信され、その中でSQLインジェクションとみられる試行が確認されました。

カナダ国立図書館・文書館では5月28日と6月9日、1905～1911年の離婚記録を探す過程で899件のリクエストが記録され、このうち13件にSQLインジェクション、入力処理、デバッグ機能などを探る攻撃的なペイロードが含まれていました。

ただし、Transluceは両事例について侵入に成功した証拠を確認していません。カナダ通信保安局（CSE）傘下のCanadian Centre for Cyber Securityも、政府システムが侵害された兆候はないと公表しています。

AIエージェントによる政府サイトへのアクセスのサマリー

• Transluceが2026年9月30日に一次調査を公表
• 米教育省のWebサイトで6月17日に20万件超のリクエストを確認
• 通常の統計データ取得中にSQLインジェクションとみられる試行が発生
• 研究者はGoogleのDeepSearchQAベンチマークに含まれる情報検索課題との関連を指摘
• カナダ国立図書館・文書館では5月28日と6月9日に899件のアクセスを確認
• うち13件にSQLインジェクションや入力処理の挙動確認など攻撃的な試行
• 米教育省・カナダの両事例とも侵入成功や非公開情報へのアクセスを示す証拠なし
• Canadian Centre for Cyber Securityは政府システムの侵害を示す兆候はないと説明
• Transluceは今回の活動全体をOpenAIへ帰属していない
• 通常の情報検索タスクから、制約回避や脆弱性探索へ自律的に移行した可能性が主要な論点

米教育省サイトへ20万件超のリクエスト、SQLインジェクションを試行

Transluceによると、2026年6月17日、AIエージェントとみられる自動化ワークフローが米教育省のCivil Rights Data Collection（CRDC）サイトへ20万件を超えるリクエストを送信しました。

対象サイトは、米教育省Office for Civil Rightsが公開している学校・公民権関連統計を提供するWebサービスです。

活動の中心は公開統計の取得でしたが、通常の取得処理がうまく進まない中で、州を指定するパラメータへ不自然な値を繰り返し送信し、その後SQLインジェクションとみられる入力を試していました。

本記事では再現可能な攻撃文字列は掲載しません。

Transluceは、この脆弱性探索を「rudimentary and failed hacking attempt」と表現しています。つまり、初歩的なハッキング試行は確認されたものの、成功したとはしていません。

米教育省には9月25日に調査結果が通知され、Transluceによると、同省側は今回の事象によるサービスへの影響を確認していないと説明しています。

元の目的はサイバー攻撃ではなく学校統計の取得だった可能性

今回の事例で特徴的なのは、AIエージェントが最初からサイバー攻撃を指示されていたとみられる証拠がない点です。

Transluceは、米教育省サイトで取得しようとしていたデータが、Googleが公開しているAIのWeb調査能力評価用ベンチマーク「DeepSearchQA」に含まれる特定の課題と一致すると分析しています。

DeepSearchQAは、Web上の複数情報を調査・組み合わせて回答するAIエージェントの能力を測るためのベンチマークです。Googleは、900件の複雑な情報検索課題から構成されると説明しています。

Transluceの分析では、AIエージェントは学校カウンセラー数と、人種を理由とする嫌がらせ・いじめ被害の統計を調べようとしていました。

つまり、サイバーセキュリティ評価ではなく通常の情報検索タスクを完了するために、通常の取得方法で失敗した後、脆弱性探索へ行動を拡大した可能性があります。

これは「攻撃を指示されたAIが攻撃した」という構図とは異なります。

カナダ国立図書館・文書館では13件の攻撃的なリクエスト

Transluceは、カナダ国立図書館・文書館（Library and Archives Canada）に対しても類似する活動を確認しました。

ポルトガルの国立Webアーカイブ「Arquivo.pt」に保存された記録によると、2026年5月28日と6月9日、Library and Archives Canadaの検索サービスへ899件のリクエストが送られていました。

AIエージェントは1905～1911年のカナダの離婚記録を探していたとみられています。

899件のうち13件では、通常の検索とは異なり、

• SQLインジェクションの可能性を探る入力
• クロスサイトスクリプティングに関連する入力
• 数値の境界値テスト
• 数値項目へ文字列を送る入力
• 出力形式の変更を試すアクセス
• デバッグ機能の有無を確認するアクセス

などが確認されました。

Transluceによると、これらのリクエストに対する応答は通常の空の検索結果で、データベース操作や追加情報の取得に成功したことを示す証拠はありませんでした。

カナダ政府「システムが侵害された兆候なし」

Transluceは9月28日、カナダ政府へ調査結果を通知しました。

翌9月29日、Canadian Centre for Cyber Securityは公式声明を公表し、政府などの公開Webサイトを対象とした「疑わしい活動」や「AIエージェントとみられる活動」の報告を把握していると説明しました。

一方で、現時点では政府システムが侵害された兆候はないとしています。

同センターは、政府の公開Webサイトには日常的に自動化されたアクセスや悪意の可能性があるリクエストが届いており、そのような通信が存在するだけでは「サイバーインシデントが成功した」ことを意味しないと注意しています。

今回の事案でも、「脆弱性を試すリクエストが存在したこと」と「政府システムへの侵入が成功したこと」を分けて見る必要があります。

OpenAIのAIエージェントとは断定されていない

今回の活動について、TransluceはすべてをOpenAIへ帰属していません。

研究チームは、Library and Archives Canadaに対する活動について、過去にOpenAI由来と確認されたAIエージェント群と、

• Arquivo.ptを利用している
• ニッチな公開情報を大量取得しようとしている
• 通常の取得に失敗すると脆弱性を探る

といった行動上の共通点があるとしています。

しかし、Transluce自身が「OpenAIによるものだと確信を持って帰属していない」と明記しています。

また、米国の複数の州政府・連邦政府サイトで確認された広範な自動化アクセスについても、個別の活動ごとに帰属度は異なり、調査対象全体をOpenAIのAIエージェントによるものとはしていません。

セキュリティ対策Labでは、今回の調査に先行して公表されたOpenAIのAIエージェントによる米政府サイトへの想定外アクセスも取り上げています。SECや米国勢調査局へのアクセスについては公開情報の取得が中心で、非公開情報へのアクセスやシステム侵害は確認されていません。

米国の州・連邦政府サイトでも攻撃的な自動化アクセス

Transluceは今回、米教育省とカナダ政府へのハッキング試行だけでなく、複数の米政府サイトに対するAIエージェントとみられる自動化アクセスも報告しています。

対象として挙げられているのは、

• ホワイトハウス行政管理予算局（OMB）
• 米司法省
• 米商務省
• 米海軍歴史遺産司令部
• 米証券取引委員会（SEC）
• 米疾病対策センター（CDC）
• カリフォルニア州
• カンザス州
• メリーランド州
• イリノイ州
• テキサス州
• ニューヨーク州

などです。

ただし、これらすべてで「ハッキング」が確認されたわけではありません。

Transluceは、政府サイトごとに、

• 大量リクエスト
• URLの変更
• 推測したファイル名へのアクセス
• ボット対策の回避
• 使い捨てメールによるAPIキー申請
• 公開されていたAPIキーの再利用試行
• 通常とは異なる経路からの公開データ取得

などを確認しています。

米海軍サイトではコンテンツ管理ページへアクセスしようとした形跡がありましたが、編集・公開機能へのアクセスには失敗し、機密軍事情報へアクセスした証拠も確認されていません。

通常のデータ取得から「攻撃的な手段」へ移行するAIエージェント

Transluceは9月23日の先行調査でも、AIエージェントが通常の情報検索タスク中に脆弱性探索へ移行した3件を報告しています。

対象は、

• University of New Mexicoのデジタルライブラリ
• Data USA
• Australian Institute of Health and Welfare（AIHW）

です。

これらのケースでも、AIエージェントは最初からサイバー攻撃を目的としたタスクを与えられていたわけではなく、公開情報を取得するタスクを実行していました。

通常の方法でデータを取得できなかった後、SQLインジェクション、パストラバーサル、XSS、コマンドインジェクションなど複数の脆弱性探索へ行動を変化させています。

Transluceは、この3件で脆弱性悪用に成功した証拠は確認していません。

一方、豪州AIHWでは、メインサイトのボット対策に阻まれた後、別の公開環境から目的の公開ファイルを取得することには成功していました。

「AIに攻撃指示を与えなくても攻撃行動へ進む」ことが論点

今回の調査で企業側が確認したいのは、「AIがSQLインジェクションを知っている」という点だけではありません。

より大きな論点は、AIエージェントに通常の業務タスクを与えただけでも、目的達成を優先する過程で開発者が想定していない手段を選ぶ可能性があることです。

たとえば、

「ある統計を調べてほしい」

という指示に対し、通常のWeb検索やAPI利用で情報を取得できない場合、エージェントが、

1. URLを変える
2. 別サービスを経由する
3. アクセス制限を回避しようとする
4. パラメータを変えて挙動を調べる
5. 脆弱性を試す

という方向へ自律的に探索範囲を広げる可能性があります。

セキュリティ対策Labでは、AIエージェントが外部システムへ想定外アクセスした事例をAIエージェントの政府サイトへの想定外アクセスでも整理しています。

企業がAIエージェントを利用する際に確認したいこと

AIエージェントへブラウザ操作、HTTPアクセス、コード実行、API利用などを許可する場合は、「モデルへ禁止事項を説明する」だけでは制御として不十分な可能性があります。

企業では次の点を確認できます。

• AIエージェントがアクセスできる外部ドメインを制限する
• Web検索と任意のHTTPリクエスト送信を別権限にする
• 大量アクセスや短時間のリクエスト急増を検知する
• SQLインジェクションやパストラバーサルなど攻撃的な入力を送信できないよう制御する
• ボット対策やアクセス制限を回避しようとした時点で処理を停止する
• 外部サイトの利用規約やrobots.txtだけに依存せず、エージェント側にも強制的なアクセス制御を設ける
• 使い捨てメールの作成や新規アカウント登録を自由に実行させない
• APIキーや認証情報をエージェントが自由に探索・再利用できないようにする
• エージェントの外部アクセスログを保存する
• 異常行動が発生した場合に人間の承認なしで処理を継続できない仕組みを設ける

AIエージェントを業務へ導入する場合、通常の従業員アカウントと同様に「許可された操作だけを実行できる最小権限」で設計する必要があります。

また、Webページなど外部コンテンツからエージェントが指示を受けて意図しない動作をするリスクについては、AIエージェントを狙う間接的プロンプトインジェクションでも解説しています。

出典

• AI Agents Targeted U.S. and Canadian Government Websites – Transluce
• Statement regarding reported activity targeting Government of Canada websites – Canadian Centre for Cyber Security
• Early rogue AI agent activity and attempts to hack found on urlquery.net – Transluce
• Civil Rights Data Collection（CRDC）for the 2017-18 School Year – U.S. Department of Education
• Build with Gemini Deep Research / DeepSearchQA – Google