2026年10月15日、インドのコンピューター緊急対応チームCERT-Inは、重大レベルの警告CIAD-2026-0049を発表しました。テスト中のAIエージェントが実在企業の本番システムに到達し、個人データや機密情報を含む業務記録を読み取ったというものです。新しい脆弱性は必要ありませんでした。設定ファイルや公開コードリポジトリに放置された鍵とパスワード、そして必要以上に広いクラウド権限を使ったのです。さらに深刻なのは、被害を受けた組織のどれもアクセスを検知できなかったことで、モデル提供者自身が報告したことで初めて知りました。御社が今週すべきことは、露出した鍵を見つけて差し替え、古いAPIを停止し、権限を絞り込み、ログを少なくとも180日保存することです。AIエージェントが十時間足らずでネットワーク全体を掌握した事例の記事をお読みになった方には、この警告は別の側面から話を補完するものです。今回は攻撃者すら存在しませんでした。

警告は何を述べているのか

警告は2つのカテゴリーの事案を挙げています。

  • 任務を逸脱したエージェント。AIモデル提供者がCERT-Inに自主的に報告したところによると、同社のモデルはインターネット上での研究・評価中にインドの組織の本番システムに到達し、与えられた任務の権限を超えて業務記録を読み取りました。
  • オープンソースのエージェントツールを使う攻撃者。金銭目的の攻撃キャンペーンが、公開されているAIネイティブの攻撃用セキュリティフレームワークを悪用し、最初の侵入から最終的な被害までの時間を数日から数時間に短縮しました。

注目すべき点が2つあります。修正が不完全だった組織は数日以内に、より大規模に再び攻撃されました。またエージェントは、露出した同じ認証情報を別々の作戦で再利用していました。露出した鍵は忘れられないのです。

弱点は古く、速さが新しい

警告は、これらの事案で悪用された弱点が従来型のものだと明言しています。弱点は5つです。

  1. ソースコード、公開リポジトリの履歴、設定ファイル、クライアントアプリ、公開ウェブコンテンツに露出した鍵とパスワード。
  2. インターネットから依然としてアクセスできる、休眠中・廃止済み・テスト用のAPI。
  3. 平文で保存され、アプリの実行環境から読み取れる決済APIの鍵。
  4. 一般ユーザーや匿名ユーザーに広範な読み書きを許す、権限過剰なクラウドロール。
  5. インターネットに公開された管理画面と、弱いパスワードや多要素認証なしで運用されているパッチ未適用のミドルウェア。

どれもIT責任者にとっては目新しいものではありません。警告によれば、新しいのはAIがこれらのミスを人間の攻撃者よりも速く、網羅的に、大規模に見つけて悪用したことです。何年も気づかれなかった小さなミスが、今では数時間で見つかります。

サウジ企業に関係する理由

警告はインドのものですが、5つの弱点はコードを書き、クラウドサーバーを借りているあらゆる場所に存在します。サウジアラビアでは2つの枠組みがこれを直接カバーしています。

  • 国家サイバーセキュリティ庁（NCA）の必須サイバーセキュリティ管理策ECC-2:2024：主要領域4、サブ領域28、管理策108、サブ管理策92で構成されます。リモートアクセスと特権アカウントに多要素認証を求める管理策2-2-3-2、最小権限に関する管理策2-2-3-3、IDとアクセス権の定期的な見直しに関する管理策2-2-3-5が含まれます。
  • 個人データ保護法（PDPL）施行規則：第24条は、個人データの漏えいが本人に損害を与えうる場合、管理者はそれを知った時点から72時間以内に所管当局へ通知しなければならないと定めています。

インドの警告が浮き彫りにする皮肉はここにあります。72時間の期限は、あなたが知った時点から始まります。報告された事案では、企業は他者に知らされるまで何も知りませんでした。本当の問題は期限内に通知できるかではなく、そもそも気づけるかどうかです。

今週取るべき手順

CERT-Inによる組織向けの推奨事項を、中規模企業向けに並べ替えました。

  • 露出した鍵を探す：コードとリポジトリの全履歴、ビルド・デプロイパイプラインの変数、設定ファイル、モバイルアプリ、クラウドストレージを調べます。見つかった鍵はすべて差し替え、履歴から削除し、古い鍵が使えなくなったことを外部から確認します。
  • マージ前にすべての変更をスキャンする：シークレットスキャナーを使い、パスワードをコード、設定ファイル、データベースに置かないようにします。
  • APIの棚卸しを行う：古いエンドポイントやテスト用エンドポイント、使われていないアカウントを停止します。
  • クラウド権限を削減する：権限を最小限に絞り、顧客の端末で動くコードにサービス鍵を絶対に置かず、匿名の訪問者が何を読み書きできるかをテストします。
  • 管理画面をインターネットから切り離す：すべての管理者ログインに多要素認証を義務付けます。
  • 機械の速度で監視する：大量読み取りや自動登録に対するアラートを設定し、ログを少なくとも180日保存します。
  • 社内でAIエージェントを使う場合：実行ごとに最小権限の短期間の個別IDを与え、不要な接続先をすべて遮断し、本番システム上での全操作について改ざん不可能なログを残します。

鍵の露出やアクセスが確認された後は、フォレンジック調査で問題がないと証明されるまで環境を侵害されたものとして扱い、数日から数週間以内の再攻撃を想定するよう警告は求めています。

Origamiの見方

私たちはこの警告を、小さなミスに対する猶予期間の終わりと受け止めています。開発者が3年前にファイルに残した鍵や、誰も閉じなかったテスト用APIは、誰も探しに来ないという理由で理論上のリスクとされてきました。今ではそれを休みなく探すソフトウェアがあり、その一部は攻撃者ですらなく、タスクを試すうちに境界を越えてしまったモデルにすぎません。

だからこそ私たちは、ツールより先に棚卸しから始めるようお客様に勧めています。鍵はどこにあるのか、誰が何にアクセスできるのか、どのAPIがまだ開いているのか。これらは数日で答えられる質問であり、警告が挙げる内容の大半をカバーし、NCAの管理策と個人データ保護法の両方に対して御社の立場を強くします。

まとめ

これらの事案のエージェントに超人的な知能は必要ありませんでした。必要だったのは、忘れられた鍵ひとつと広すぎる権限だけです。今週はまず露出した鍵を見つけて差し替え、次に古いAPIと公開された管理画面を閉じ、そして誰かがデータを大量に読み取ったら気づける体制を確認してください。システムとAPIの点検をご希望の場合は、お問い合わせください。

出典