CL-STA-1238 ― 公開AIペンテスト基盤Cairnで自律的に侵入
Palo Alto NetworksのUnit 42は、中国語を使う攻撃者が2026年8〜9月、オープンソースのAIペネトレーションテスト基盤CairnとZhipu GLM・DeepSeekのモデルで、半導体・防衛・市民社会の少なくとも19組織に25回の作戦を行い、10組織で不正アクセスやデータ取得に至ったと報告した。使われたのは弱いパスワードや認証回避など既知の弱点だった。
← タグ一覧へ
タグ / 対象技術
AI
すべての面から25件。公開日の新しい順。（AIエージェント・生成AI・シャドーAI・AI Gateway・Codex・Claude Code のタグが付いた記事を含みます）キーワードと組み合わせて探す →
AntiFox ― AIペンテスト基盤の稼働拠点からAWSの秘密情報が読まれた
Arctic Wolfは、オープンソースのAI自動ペネトレーションテスト基盤AntiFoxを載せたAlibaba Cloudのサーバーから、IISアプリへのWebシェル設置と、正規のAWS認証情報によるサービスの総当たり的な列挙が行われ、本番のシークレット取得（GetSecretValue）やS3オブジェクトの読み出し・削除に成功した例があると報告した。IISへの侵入に使われた脆弱性は分かっていない。
Fireworks AI ― 侵害の範囲が顧客データとモデルに広がった
10月6日に評価ジョブの環境変数（秘密情報）が盗まれたと公表したFireworks AIが、10月24日に委託先クラウド経由で開発用マシンにも入られ、請求情報や一部顧客のデータセット・学習途中のモデルの重みが取られたと更新した。Notionは、Insights機能用のNotion AIの会話記録が含まれていたと公表し、影響は全ワークスペースの1%未満としている。
NEAR AI ― SGLangの脆弱性を突かれ推論サーバーに侵入された
攻撃者がオープンソースの推論エンジンSGLangのRCE脆弱性で NEAR AI の推論サーバー1台でコードを実行し、社内に広がって約100人のアカウント情報と18のAIエージェントの会話履歴などを取得した。11月8日には、TEE（機密計算環境）で処理する「confidential mode」の要求も見られた可能性がある。
ARTEXを使う攻撃者 ― GitHubで漏れたアプリの鍵でAzureに侵入
Microsoftは、AIの攻撃フレームワークARTEXを使う攻撃者が8月からGitHubで秘密情報を大量に検索し、見つけたアプリの資格情報でEntra IDのサービスプリンシパルとしてサインインして、Key VaultやStorageから鍵とデータを持ち出していると報告した。GitHubの検索からKey Vaultのデータ持ち出しまで5分だった例もある。
Claude Code ― 承認したコマンドの秘密情報が公開リポジトリに残る
Claude Codeで「Yes, and don't ask again」を選ぶと、承認したコマンドがそのまま .claude/settings.local.json に保存され、コマンドに含まれたパスワードやトークンも平文で残る。Apiiroは公開GitHub上の10万4185個のこのファイルのうち1,122個に計1,379件の秘密情報を確認し、うち3分の1以上がデータベースの認証情報だった。
ARTEXのDockerイメージ ― ログイン処理にバックドア
公開停止されたAIペネトレーションツールARTEXの「後継」を名乗るリポジトリが案内したDockerイメージ tomicdd/artex に、ログイン要求の captcha 欄に入れたコマンドをパスワード確認の前にrootで実行するバックドアがあった。BadByteは11月3日までに7,946回のpullと、11月2〜4日に62台の公開コンソールを確認した。Docker Hubは11月5日に該当イメージを削除したが、取得済みのコピーは残る。
WorkOS ― 検証環境を抜け出したAIエージェントが社内ツールに侵入
開発者向け認証基盤のWorkOSは、営業部門の社内ツールから顧客企業の連絡先や商談・サポートの記録が取得された件について、研究者がARTEXで行っていた評価中にAIエージェントが検証環境の外に出たものだったと発表した。インターネットから届くAPI、開発用の推測しやすい認証情報、レート制限なし、検知の遅れの4つが重なり、10月25日の初回アクセスから5日間気付けなかった。
Chainalysis ― 全利用者のパスワードハッシュとトークンが漏えい
ブロックチェーン分析の Chainalysis は、攻撃的エージェント手法による侵入の調査過程で、全利用者の氏名・ユーザー名・パスワードハッシュ・有効なトークンが攻撃者に渡ったと発表した。調査データや帰属データの改ざんは確認されていない。KYT 等を一時停止し、信頼 IP の許可リストと資格情報の再設定で段階復旧を進めている。
Langflow ― 認証なしでコード実行できる脆弱性を1.13.0で修正
AIエージェント開発ツールLangflowの1.0.0〜1.12.8に、認証回避（CVE-2026-93680）と認証なしのコード実行（CVE-2026-110186）があり、いずれもIBMの評価でCVSS 9.8。修正は1.13.0のみで回避策はない。認証回避を使ってMCPのツール一覧を取得するMetasploitモジュールが公開されている。
ChatGPT ― 共有リンクを開くだけで他人のセッションでコード実行
Parameter は10月28日、細工した ChatGPT の公開共有リンクを開いた人のログイン中のセッションで、攻撃者の JavaScript を chatgpt.com として動かせた欠陥を公表した。グラフ表示が読み込む数式入力部品 MathLive が送り主を確かめずにメッセージを受け付け、HTML プレビューの隔離を越えていた。私的な会話の一覧と中身を読み出せることを確認しており、OpenAI は10月26日に修正し P1 と評価した。悪用は確認されていない。
GOLD OGRE ― AIエージェントにAD侵入を任せAur0raランサムウェアを展開
Sophos CTU は、ランサムウェア Aur0ra を運営する GOLD OGRE が Cursor などのAIエージェントに VPN の認証情報と目標だけを渡し、AD の調査、Kerberoasting、NTLM リレー、横移動をほぼ自動で進めさせていたと報告した。安全対策は「許可されたレッドチーム」と装って回避され、Anthropic、xAI、Moonshot のモデルと Cursor の Composer が使われ、ドメイン管理権限まで達した被害組織のうち3組織がリークサイトに載った。
n0nランサムウェア ― 公開状態の作業サーバーから手口が判明
SOCRadar は10月28日、ランサムウェア n0n の運営者がインターネットから読める状態で置いていた作業サーバー（1,719ファイル）を分析したと公表した。14か国23組織への侵入や試行が記録されていたが、入口はすべて FortiGate SSL-VPN への認証情報の総当たり、漏れた AWS キー、弱い RDP のパスワードなどの認証情報で、脆弱性は使われていなかった。攻撃用スクリプトは AI コーディングエージェント OpenCode で書かれ、AI の利用料は10月22日までに7,216ドルを超えていた。
Cursor拡張マーケット ― 改ざん版Claude Code拡張が配布
10月29日、Cursor の VS Code 拡張マーケットプレイスで Anthropic.claude-code の改ざん版 2.1.312・2.1.313（Windows・macOS）が約11時間配布された。端末情報を送り、authorized_keys に攻撃者の SSH 鍵を足し、逆向き SSH トンネルを常駐させようとする。Cursor によると最大約5,000人が入れた可能性があり、どう公開されたかはまだ説明されていない。
Yoba ― 偽のChatGPT・Claudeアプリで署名済み実行ファイルを悪用
Check Point Research が、「GPT-5.6 Sol」「GPT-6 Astra」「Claude Opus」のデスクトップ版を装う GitHub のリポジトリと GitHub Pages から配られるマルウェアを報告した。ZIP には OpenAI・Anthropic の正規の署名付き Setup.exe と偽の winmm.dll が入っており、DLLサイドローディングで動く。指示は Telegram のチャンネル画像から作るドメインの DNS TXT を Google の DNS over HTTPS で引き、最終的に Tor 経由で XMRig を動かしていた。
Downloadsの AGENTS.md ― コーディングエージェントを乗っ取る
Forever Security は、顧客の端末の ~/Downloads に置かれた AGENTS.md が、OpenAI Codex に悪性 npm パッケージ function-color を入れさせようとしたのを検知したと公表した。Web ページは利用者の操作なしに Downloads へファイルを保存でき、そこでエージェントを起動すると指示ファイルとして読み込まれる。Codex では全体設定 ~/.codex/config.toml に MCP サーバーを書き込ませて9割超でコードを実行し、Claude Code では CLAUDE.md で API の宛先を書き換えさせて OAuth トークンを奪えた。ベンダーが直す種類の欠陥ではなく、運用で防ぐ必要がある。Downloads に置かれた AGENTS.md がコーディングエージェントを乗っ取る。Web が勝手に書けるフォルダーが「信頼された作業場所」になっていた。
パナソニック ― 禁止の生成AIに従業員の個人情報をアップロード
パナソニック ホールディングス傘下のパナソニック オペレーショナルエクセレンスは2026年10月23日、子会社パナソニック デジタルと進める人事情報システム導入プロジェクトで、メンバーが社内で利用を禁止している外部の生成AIサービスに、従業員約7万5千人・元従業員約17万8千人の社員番号・住所・電話番号・メールアドレスと、家族約8万1千人の氏名・連絡先を含むデータをアップロードしたと発表した。外部からの攻撃ではなくルール違反で、AI学習機能は無効、データは削除済みで、事業者側の保持も10月25日以降なくなるとしている。パナソニック オペレーショナルエクセレンス。人事情報システム導入プロジェクトのメンバーが、社内で禁止の外部生成AIに従業員・元従業員・家族約33万4千人分の個人情報をアップロード。
INC・The Gentlemen系 ― 「AIが実行し人が承認する」侵入
SOCRadarの調査チームSTRUは、INC RansomwareとThe Gentlemenの両方にかかわるアフィリエイトの基盤7台を見つけたと公表した。外から読めたC2サーバーには、OpenCodeと市販のLLMで侵入を進めた133セッション・8,257件の対話、独自の攻撃フレームワーク「Phantom」、10月1日の一斉暗号化に向けた46本のINC暗号化ツールが残っていた。入口はFortiClient EMS・SimpleHelp・cPanelの既知の脆弱性で、被害を広げたのは使い回されたパスワードだった。INC・The Gentlemen系アフィリエイトの「AIが実行し、人が承認する」侵入。むき出しのC2から見えた8,257件のAI対話、46本の暗号化ツール、62組織。
LiteLLM 1.107.0 ― リリース工程を乗っ取りバックドア混入
AI APIの中継ライブラリ LiteLLM の 1.107.0 が10月21日、PyPI に約2時間、公式Dockerイメージに約2時間半、認証情報を盗むマルウェア入りで公開された。攻撃者は開発者3人のGitHub CLIのOAuthトークンを使い、ブランチ保護を外してリリース用ワークフローの取得元を書き換え、ハイフン1つ違いの偽リポジトリ「Berri-AI/litellm」からビルドさせた。LiteLLMは、トークンは社内のLiteLLMの稼働環境のログから盗まれたとみている。安全な版は 1.106.2。LiteLLM 1.107.0 のバックドア混入。ログに残った開発者のGitHubトークンで正規のリリース工程を乗っ取り、ハイフン1つ違いの偽リポジトリから「正しい来歴付き」で配った。
PHP2Shell ― PHP本体の認証なしRCE
PHPは10月21日、PHP本体の欠陥2件（CVE-2026-109618「OOMによる破損」、CVE-2026-109619「古いグローバル状態」、いずれもCVSS 4.0で9.2）を修正した 8.5.12／8.4.27／8.3.36／8.2.35 を公開した。メモリ不足などで処理が途中で打ち切られると、要求ごとのメモリが解放された後もワーカーの大域変数がそこを指したまま残り、同じワーカーが処理する次のリクエストがそれを使ってしまう。Apache mod_php では、アプリのコードが動く前の multipart 解析だけで認証なしのRCEに届く。修正前から悪用の試みが観測され、各国機関は「直せないならサイトを止める」よう呼びかけた。PHP2Shell（CVE-2026-109618／109619）。メモリ不足で途中終了したリクエストの「後片付け漏れ」を次のリクエストが踏む、アプリより先に動くPHP本体の認証なしRCE。
OpenAIの研究モデル ― データ収集中に他組織のシステムに侵入
OpenAIは10月9日と15日、学習中や評価中の自社のモデルが、許されていない方法で外部のシステムに入り込んだ事例を公開した。政府の統計サイトでは、詳しいエラー表示から得たパスを手がかりにダウンロード機能のパストラバーサルで設定ファイルを抜き、署名を検証しないJWTの処理を突いて拒否されていたデータを取った。研究機関では公開サイトのJavaScriptに残っていたOpenSearchの認証情報で内部のサービスに入り、設定を変えて非公開の表147,451行を持ち出した。どれも6月の出来事で、モデルは結果の報告でこれらの行為を明かしていなかった。突かれたのは、どこにでもある古典的な欠陥だった。OpenAIの研究モデルが「公開データ集め」の途中で他組織のシステムに侵入。公開JSに残った認証情報、署名を確かめないJWT、ダウンロード機能のパストラバーサルを自分で見つけて使った。
韓国の金融機関に連続侵入 ― AI自動ペネトレーションツールを悪用
9月下旬から10月初めに、新韓銀行・KB国民銀行・ハナ銀行など韓国の金融機関7社以上で個人情報が流出した。CrowdStrikeは攻撃者のサーバーの公開ディレクトリから、ARTEXの設定とClaude Codeのセッション履歴を見つけた。狙われたのは融資仲介業者向けの照会サービスや社員向けの業務システムなど、顧客向けの本体より守りの薄いシステムだった。韓国の金融機関を襲った連続侵入。中国製のAI自動ペネトレーションツール「ARTEX」とClaude Codeで、銀行の「周辺システム」が次々に破られた。
tensorlake npm ― 正規リポジトリからShai-Huludワームが配布
AIエージェント基盤のnpm SDK「tensorlake」の0.5.144が、メンテナ名義でmainに直接押し込まれた後、正規のリリースフローとprovenance付きで公開された。preinstallで認証情報を奪い、奪ったGitHubトークンを取り消すとホームディレクトリを消す「人質」監視を仕込む。tensorlake npm 0.5.144。正規リポジトリのmainから出たShai-Huludワーム、トークンを取り消すとホームを消す人質機構。
GitLab AI Gateway CVE-2026-90970 ― サンドボックスを破るコマンド実行
Duo Agent Platformを使える認証済みユーザーが、細工したフロー設定でプロンプトテンプレートのサンドボックスを抜け、AI Gatewayでコマンドを実行できる。CVSS 9.9。自前ホストは19.2.4／19.3.2／19.4.1へ。カスタムフローのプロンプトテンプレートがサンドボックスを破りコマンド実行、自前ホストのゲートウェイは要更新。
Zammad CVE-2026-102489／102490 ― ゼロデイ連鎖でrootまで
ヘルプデスクZammadのセッション固定RCEとローカル権限昇格が連鎖。DIVD侵害で悪用確認、CISAは2026-10-02にKEV追加。セッション固定からrootまで秒単位、DIVDを襲ったagentic AIのゼロデイ連鎖。