暮らしと仕事の「？」を調べてみた｜世界AI重要事案

AIが約20分で認証情報を取得――4つの攻撃グループがAIエージェントを悪用、医療関連15組織以上に侵入

CrowdStrike公式公表：2026年10月21日｜資料確認：2026年10月23日

AIが、サイバー攻撃の方法を自分で判断し、実際に操作する。

そんなことが、すでに現実の攻撃で起きているのでしょうか。

2026年10月21日、米国のセキュリティ企業CrowdStrikeが、AIエージェントをサイバー攻撃に利用していた4つの攻撃グループについて調査結果を公表しました。

報告書によると、ある事例では、人間の攻撃者が一度指示を出した後、AIが追加の指示なしにネットワーク内を移動し、約20分で重要な認証情報を取得しました。

また、アルゼンチンでは少なくとも15の医療関連組織への侵入が報告され、少なくとも1組織から医療記録や認証情報が持ち出されたとされています。

ただし、AIが自ら犯罪を計画したわけではありません。攻撃目標を与えていたのは人間です。

今回は、CrowdStrikeの詳細調査報告書20ページを確認し、AIが実際に何を判断し、どこまで操作していたのかを調べました。

4つの攻撃グループは何をしていた？

CrowdStrikeは、2026年5月から8月にかけて確認された4つの攻撃グループを分析しました。

いずれも、攻撃者がAIエージェントを操作するために用意した仕組みが、外部から閲覧できる状態になっていたことが調査の手掛かりです。

調査では、攻撃者が使用していた言語や、AIに与えた指示、実際の侵入活動などが分析されています。

出典：CrowdStrike詳細報告書、4〜7ページ。

ここで注意したいのは、使用言語が攻撃者の国籍を示すわけではないことです。例えば、中国語を使用していたからといって、中国政府が関与していたと断定することはできません。

AIは約20分間で何をした？

今回の調査で、特に注目したいのが2026年8月13日の事例です。

舞台となったのは、すでに攻撃者が侵入していたアルゼンチンの医療関連組織のネットワークでした。

人間の攻撃者はAIに対し、ネットワーク内を移動して認証情報を取得するよう指示しました。その後の動きが、詳細報告書に時刻付きで記録されています。

この事例で重要なのは、AIが最初の方法に失敗した後、自ら別の方法を選んでいたことです。単に決められた手順を繰り返したのではなく、途中で状況を判断し、操作を変更していました。

ただし、最初の侵入から20分で攻撃が完了したわけではありません。 攻撃者は、すでに侵入済みのネットワークを利用していました。

別の医療機関への経路も、AIが自分で考えた

もう一つ、重要な事例があります。

2026年8月5日、攻撃者はAIに対し、ある医療関連組織のデータベース認証情報を取得するよう指示しました。しかし、攻撃者が使用していたサーバーからは、対象組織のシステムに直接アクセスできませんでした。

そこでAIは、すでに侵入していた別の医療関連組織のネットワークを経由すれば、目的のシステムに到達できるのではないかと考えました。

AIは接続を試し、対象の内部システムの構成や認証情報を調べ、アクセス経路を見つけました。この作業にかかった時間は約12分半です。

CrowdStrikeによると、この間、人間の攻撃者から新たな具体的指示はありませんでした。

人間が目的を与え、AIが途中の方法を考えていたことを示す事例です。

ただし、この12分半で別組織への攻撃がすべて完了したという意味ではありません。報告書では、AIがアクセス経路を確立し、次の攻撃段階に向けた計画を提示したところまでが記録されています。

726の顧客データベースにアクセスした事例も

ロシア語を使用する攻撃グループの事例では、AIエージェントがクラウド環境の権限を拡大していった様子も報告されています。

AIは、公開されていたシステムの弱点を見つけ、そこから内部の認証情報を取得しました。さらに、クラウド環境の管理権限を得て、複数のシステムへアクセスを広げていきました。

報告書によると、AIは最終的に726の顧客データベースにアクセスしました。その後、データの抽出が可能であることを確認し、外部へ情報を送る仕組みも構築しています。

ただし、726すべてのデータベースから情報が持ち出されたと確認されたわけではありません。「アクセスできた範囲」と「実際に持ち出された情報」は分けて考える必要があります。

AIの安全制限は機能しなかったの？

今回の調査では、攻撃者が商用AIの安全制限を回避しようとしていたことも確認されています。

例えば、AIに対して「正式な許可を得たセキュリティ検査を行っている」と説明する方法です。また、AIが攻撃に関係する要求を拒否した際、攻撃者が依頼文を言い換えたり、別の会話を始めたりしていました。

CrowdStrikeは、4つの攻撃グループが何らかの方法で安全制限を回避・弱体化させていたと評価しています。

一方、報告書にはAIが拒否したり、人間に確認を求めたりする場面も記録されています。そのため、AIの安全制限が一切機能していなかったという意味ではありません。

また、今回の報告書から、商用AI全般でどの程度の割合で安全制限を突破できるかを算出することもできません。

AIを使えば、誰でも高度なサイバー攻撃ができる？

CrowdStrikeは今回の調査を踏まえ、AIエージェントがサイバー攻撃の技術的なハードルを下げる可能性を指摘しています。

その根拠の一つが、インドネシア語を使用する攻撃グループの事例です。この攻撃者は、819種類の公開スキルを組み合わせてAIに作業を任せていました。

CrowdStrikeは、この攻撃者について、4グループの中では技術的に最も未熟だったと評価しています。それでも、政府関連システムや民間企業への侵入に成功したと報告されています。

ただし、これだけで誰でも簡単に攻撃できるようになったと結論づけることはできません。CrowdStrikeの見解は、今回の4事例に基づく将来予測です。

同社は、今後12か月でAIエージェントを利用した侵入が増える可能性が非常に高いと評価していますが、これは確定した未来ではありません。

地域の事業者は何に注意すればよい？

今回の調査で、東村山・小平・東大和の事業者が攻撃を受けたと確認されたわけではありません。

しかし、地域の中小企業にも関係する問題があります。今回の攻撃では、AIがネットワーク内の設定や認証情報を調べ、アクセスできる範囲を広げていました。

例えば、地域の事業者が業務用システムや顧客管理サービスを利用している場合です。一つの管理用アカウントが侵害されると、そこから別のシステムへアクセスが広がる可能性があります。

また、IT管理を外部に委託している場合は、委託先が持つアクセス権限にも注意が必要です。

事業者が確認しておきたいのは、次のような基本的な対策です。

• 多要素認証：管理用アカウントに追加の認証を設定する。
• 権限の見直し：外部委託先に必要以上の権限を与えていないか確認する。
• 更新管理：システムやソフトウェアを適切に更新する。
• 不要な認証情報の削除：使っていないアカウントや古い認証情報を整理する。
• バックアップ：データを保護し、復旧方法を確認しておく。

AIによって攻撃の一部が自動化されたとしても、侵入を防ぐための基本的な対策が不要になるわけではありません。

むしろ、攻撃者が短時間で次の操作へ進む可能性があるからこそ、日頃の権限管理や監視が重要になります。

編集部まとめ

主な確認資料・情報源

• CrowdStrike Counter Adversary Operations（2026年10月21日）
  『Uncovers New 2026 Agentic AI Campaigns』。詳細調査報告書（全20ページ）。4グループの活動、AIエージェントの構成、操作記録、攻撃事例、安全制限の回避方法、将来予測を確認。
• CrowdStrike公式技術記事
  CrowdStrike Uncovers New Agentic AI Campaigns
• CrowdStrike公式報告書案内ページ
  Agentic AI Attack Campaigns

資料上の留意点：報告書では、ある攻撃グループの活動期間が8月10日までと記される一方、8月13日の操作記録も掲載されています。日付には原典内の不整合があるため、今後の確認・訂正対象とします。また、侵入や窃取に関する記述はCrowdStrikeによる調査結果であり、すべてが第三者により独立検証されたものではありません。

まいぷれ東村山・小平・東大和編集部｜身近な疑問を、一次情報から読み解く。