暮らしと仕事の「？」を調べてみた｜世界AI重要事案

AIエージェントが100以上のサイトに侵入か――約1,200サイトを標的にした攻撃を研究者が観測

人間が短い指示を出し、AIが長時間にわたって侵入方法を探索。日本の小売サイトも調査対象に

AIが人間の代わりにウェブサイトの弱点を探し、侵入まで進めてしまう。そんなサイバー攻撃が、研究室の実験ではなく、実際のインターネット上で観測されたと報告されました。

2026年10月19日、ロイター通信は、AIエージェントを利用した大規模なサイバー攻撃について報じました。セキュリティ企業NorForgeの調査によると、攻撃者はAIエージェントに短い指示を与え、1,200以上のウェブサイトへの侵入を試みていました。

研究者は100以上のサイトへの侵入成功を報告しており、実際に侵入された状態を確認できた事例もあります。ただし、100社以上から個人情報が盗まれたと確認されたわけではありません。

何が起きたのか。ロイターの報道と、NorForgeが公開した調査報告書を確認しました。

AIエージェントを使った攻撃とは？

AIエージェントとは、目的に応じて情報を集めたり、ツールを操作したりしながら、複数の作業を進めるAIの仕組みです。

今回使われたのは、「Cairn」と呼ばれるAIエージェント基盤です。与えられた目標に向かって作業を分解し、複数のAIエージェントを動かすことができます。

こうした仕組みは正当な問題解決やセキュリティ検証にも利用できますが、今回の攻撃者はウェブサイトの弱点を探し、不正なアクセスを得るために利用していました。

AIが自分の意思で犯罪を始めたわけではなく、人間の攻撃者が目標を設定していたことが重要です。

約1,200サイトへの攻撃、100以上で侵入成功か

NorForgeの研究者Snorre Fagerland氏は、インターネット上に公開されたままになっていたCairnの管理画面を調査しました。その結果、悪意ある活動に使われているとみられる管理画面を20件以上発見しました。

なかでも大規模だったのが、中国語の指示を使用する攻撃グループです。ロイターによると、この攻撃者は9月25日から米国、カナダ、オーストラリア、日本などのECサイトを標的に活動し、10月中旬までに1,200以上のサイトへの侵入を試みていました。研究者は100以上のサイトで侵入に成功したと報告しています。

1,200以上のサイトすべてへの侵入が成功したわけではありません。また、「侵入成功」の意味も攻撃目標によって異なり、すべてのサイトで同じ被害が起きたことを示す数字ではありません。

人間の指示は100文字未満だった

ロイターによると、攻撃者は中国語で100文字未満の短い指示を与え、希望する侵入方法などを指定していました。その後、AIエージェントは対象サイトを調べ、脆弱性を探し、さまざまな方法を試していました。

NorForgeの報告書では、AIが見つけた情報を共有し、次に試す方法を決めながら作業を進める仕組みが説明されています。失敗しても探索を続け、別の接続先や関連システムを調べるケースがありました。

これまで人間が手作業で進めていた工程の一部を、AIエージェントが継続的に実行していたことが特徴です。

実際に侵入できたことも確認された

今回の調査は、AIの管理画面に「成功」と表示されていたというだけではありません。NorForgeは、侵入成功と記録されたサイトの一部について、実際の状態を確認しています。

あるサイトでは攻撃者が設置したとみられるファイルを確認し、オーストラリアのECサイトではサーバー上で命令を実行できる状態だったと報告しています。

ただし、100以上と報告された侵入成功のすべてを、研究者が個別に裏付けたという意味ではありません。

23時間、約50ドルで侵入できた？

ロイターは、AI利用費用の総額を約5,000ドル、侵入成功1件当たり約50ドルとする研究者の推定を紹介しています。

NorForgeは、これらの金額がAIモデルの利用量や料金をもとにした概算で、不確実性があると説明しています。実際の請求明細をすべて確認した確定額ではありません。

また、23時間弱という数字は、主要な攻撃グループで目標を達成したタスクの開始から完了までの平均時間です。すべての攻撃が23時間で成功したという意味ではなく、5日以上続いたタスクもありました。

数字からうかがえるのは、少ない人手で多数の攻撃を並行して進められる可能性です。一方、今回の推定値をすべてのサイバー攻撃へ一般化することはできません。

企業側はどう説明している？

ロイターは攻撃の記録を調べ、影響を受けたとみられる企業へ直接取材しています。

企業ごとに確認状況は異なります。Cumminsは攻撃の可能性を調査している段階であり、侵入を確定的に認めたわけではありません。

「侵入された」と「顧客情報が流出した」は同じ意味ではありません。情報持ち出しの全体像は確認されていません。

日本のサイトも標的になっていた

NorForgeの調査報告書では、日本の小売サイトを対象とした事例も紹介されています。攻撃対象は米国やオーストラリアだけではありませんでした。

ただし、今回確認した資料から、東村山市・小平市・東大和市の事業者が被害を受けたという事実は確認できません。地域との接点は、同様の技術が国内の事業者にも向けられているという点にあります。

中小企業のウェブサイトも狙われる？

ネットショップ、予約システム、問い合わせフォーム、顧客管理サービスなど、事業者のウェブサイトにはさまざまな機能があります。自社で管理せず、制作会社や外部サービスに運用を委託している場合もあります。

今回の事案では、外部委託先が管理するサイトも調査対象に含まれていました。事業者の規模だけで安全性を判断することはできません。

攻撃者のAI管理画面も公開されていた

研究者が攻撃の様子を詳しく確認できたのは、攻撃者側のCairn管理画面が外部から閲覧できる状態だったためです。

そこには攻撃対象や作業履歴に加え、認証情報などの機密情報も含まれていました。NorForgeは、その一部について有効性を確認したと報告しています。

つまり、攻撃者自身の管理不備が調査の手がかりになったのです。ただし、管理画面が公開されていたことは、第三者が自由にAIエージェントを操作できたという意味ではありません。NorForgeは無断操作が可能かどうかは試していないと説明しています。

AIが暴走した事件なのか？

今回の事案は、AIが人間の指示を無視して勝手に犯罪を始めた事件ではありません。人間の攻撃者が目的を与え、AIエージェントを使って不正な侵入を試みたものです。

これまでのAI安全性研究では、AIが与えられた制約を越えて行動する問題も取り上げられてきました。しかし今回は、AIが指示された目的に向かって長時間作業できる能力そのものが、犯罪に利用されています。

「AIが言うことを聞かない危険」と「AIが人間の悪意ある指示を効率よく実行する危険」は、分けて考える必要があります。

まだ分かっていないこと

実際の攻撃活動を示す記録は確認されていますが、次の点は確定していません。

• 100以上の侵入成功報告のうち、個別に裏付けられた件数
• 影響を受けたすべての企業名と被害内容
• 顧客情報や機密情報の持ち出しの全体像
• 攻撃者の国籍や所属組織
• AI利用費用の正確な総額
• 攻撃が現在も続いているかどうか

攻撃者が中国語を使用していたことは、その国籍や所属組織を特定する証拠にはなりません。

編集部まとめ｜AIによるサイバー攻撃は何が変わった？

主な確認資料・情報源

1. NorForge（2026年10月19日）｜研究者による調査報告
   Inside Cairn: Open Windows into massive AI-Driven Cyber Operations
   攻撃グループの分類、作業記録、費用・成功率の推定、検証した侵入事例、日本の小売サイトに関する事例。

資料確認日：2026年10月19日。数値には研究者の推定が含まれます。NorForgeの調査とReutersの報道は相互に関連するもので、完全に独立した二つの調査による同一数値の確認ではありません。
まいぷれ東村山・小平・東大和編集部｜身近な疑問を、一次情報から読み解く。