AIエージェントがサプライチェーンの死角に 情シスを襲う新種の脆弱性：進化するサイバー攻撃の最前線

シャドーAIの普及で、AIエージェントを介したバックドアや情報漏えいリスクが急増。カスペルスキーは1.5万件の偽AI検体を特定した。AIが悪用される新たなサプライチェーン攻撃の脅威と防御の核心に迫る。

[Aaron Tan，Computer Weekly]

　カスペルスキーは2026年8月後半、従業員がAIエージェントやモデル、拡張機能を社内環境に持ち込む前に、マルウェアやバックドア、バイアスの有無をスキャンする製品をリリースする。同社が進めるサプライチェーンセキュリティの取り組みをAIスタックへと拡張する狙いだ。

　カスペルスキーのアジア太平洋地域担当マネージングディレクターであるエイドリアン・ヒア氏は、研究開発チームを当面の懸念事項として挙げた。製品開発のためにAIを最も積極的に活用しているのが同チームだからだ。

　中国の広州で開催された同社のカンファレンス「APAC Cyber Security Weekend」でヒア氏は「ダウンロードしたAIエージェントにバックドアやトロイの木馬が含まれていないとどうやって確信できるのか」と聴衆に問いかけた。「現時点では、この問題に誰も手を打っていない」と同氏は指摘する。

　新ツールは、同社の既存のエンドポイント製品や脅威インテリジェンス製品の下位にあるインフラおよびサプライチェーンレイヤーに位置する。ダウンロード時と実装時の両方のタイミングで「OpenClaw」のスキル（機能拡張）をチェックする仕組みだ。

　カスペルスキーが公開ライブラリにあるエージェント型AIのスキルをテストしたところ、絶え間なく脆弱性が発見されたという。同社によると、2026年に入ってからエージェント型AIソフトウェアを装った1万5000件以上のマルウェアサンプルを特定している。

　「AIエージェントは新たなサプライチェーンの階層を生み出す」とヒア氏は説明する。エージェントはサードパーティー製のフレームワークやAPI、プラグインに動的に依存しているため、上流で1つでも侵害が発生すればその影響は下流のシステム全体に連鎖する恐れがある。

シャドーITから「シャドーAI」へ

「シャドーAI」に関連する編集部お薦め記事

　今回の製品リリースの背景には、過去10年にわたるシャドーITの後継ともいえる「シャドーAI」への懸念がある。かつてのシャドーITは従業員がIT部門に無断でクラウドサービスを契約するものだったが、ヒア氏によれば、現在は同じパターンがチャットボットやコーディングアシスタント、エージェントマーケットプレースで起きている。しかもその進行速度は速く、はるかに機密性の高いデータが関わっているという。

　ヒア氏は、あるビジネス上の知人が会社の財務データをチャットボットに渡して管理会計資料を作成していた例を挙げた。有料の会計事務所よりも優れた成果を出したからだという。

　「個人利用か業務利用かを問わず、AIツールを使用する際は共有した情報は全て公開情報になることを念頭に置くべきだ」とヒア氏は警告する。

　さらにヒア氏は、シャドーAIが可視性のギャップを生んでいると強調する。同氏が面会するセキュリティ責任者の多くは、ノートPCやサーバ、クラウドインスタンスの数は正確に答えられる。しかし、同じネットワーク内にあるカメラやプリンタ、スマートデバイスの数を聞かれると言葉に詰まるという。「何を所有しているか把握していなければ、それを守ることはできない」と同氏は語る。

　カスペルスキーの調査では、データセンターに接続されたネットワークカメラやUSB周辺機器を介してマルウェアが侵入した事例も確認されている。また、現場では今もWindows XPやWindows 7の端末が稼働しており、ネットワークが内部に閉じているという前提で、その多くが無防備な状態にある。カスペルスキーはXPを今もサポートしている最後のベンダーだという。

　同社は2025年、1日あたり50万件の悪意あるファイルをブロックした。これは2024年比で7％の増加だ。ヒア氏はこの増加の一因として、攻撃者がAIを使用して亜種を生成していることを挙げた。

　マルウェアの一部は、数カ月にわたって検出されないこともある。カスペルスキーのレポートによると、分析したインシデントの31％で悪意ある活動が3カ月以上続いていた。重大な侵害の半分以上は発生から90日以上たってようやく表面化しており、過去1年で特定された最も長期の事例では4年間も検出されずにいたという。

標的を絞り込む攻撃によりランサムウェアの件数は減少

　カスペルスキーのアジア太平洋・META地域リサーチセンター責任者を務めるセルゲイ・ロシュキン氏は、2026年上半期に同地域でブロックされたランサムウェア攻撃が25万件だったと報告した。これは前年同時期の34万件から減少しているが、ロシュキン氏はこれを朗報と捉えるべきではないと注意を促す。

　攻撃グループは、目に入るもの全てを攻撃する手法を止めたのだという。ロシュキン氏は「彼らは標的の情報収集を徹底的に行うようになり、ソーシャルメディアやLinkedInなどを活用した情報収集にAIを多用し始めている」と説明する。

　カスペルスキーのグローバル調査分析チームは現在、900以上の攻撃オペレーションやグループを追跡しており、2025年には190件以上のレポートを公開した。

　ロシュキン氏によれば、高度標的型攻撃（APT）グループは解析を困難にするためにRustやGoといったプログラミング言語に移行している。また、コマンドアンドコントロール（C2）通信を正規のサービス内に隠す手法も取られているという。

　具体的には、Outlookのカレンダーイベントを介して通信をルーティングするグループや、韓国の政府機関を標的にする「Kimsuky」のように、Visual Studio Codeのトンネリング機能を悪用するケースが確認されている。Kimsukyのマルウェアコードからは、大規模言語モデル（LLM）が出力したと思われる痕跡も見つかっている。

　別の事例では、ウイルス対策ベンダーが侵害され、そのアップデートチャネルが悪用されて顧客の端末にマルウェアがインストールされた。カスペルスキーがこれを発見できたのは、一部の顧客が両方の製品を併用していたからだったという。

　同チームは過去10年間で32件のゼロデイ脆弱性を報告しているが、これらは全て、製品テストではなくマルウェアの調査を通じて発見されたものだ。「製品から脆弱性を探すのではなく、マルウェアから脆弱性を発見している」とロシュキン氏は述べる。

　2026年に分析されたiOSのエクスプロイトチェーンについても、ロシュキン氏はこの点を強調した。同チームの評価では、これは「Operation Triangulation」というフレームワークの系譜にあり、現在は国家ではなく犯罪者の手に渡っているという。「マルウェアを作成してインターネット上に公開すれば、いつかは悪意ある者の手に渡ることになる」と同氏は語る。

　ロシュキン氏がAIについて最も危惧しているのは、もはや生成されるコンテンツの内容ではない。「大量のフィッシングメール作成やディープフェイク、音声偽装だけが問題なのではない。今、最も危険なのは、攻撃の開発、マルウェアの作成、そして侵入の計画と実行を支援するAIだ」と同氏は締めくくった。