AIエージェントがマルウェア配布の新チャネルに

AIエージェントがマルウェア配布の新チャネルに？サイバー攻撃の新たな脅威を解説

近年、AI（人工知能）技術は目覚ましい発展を遂げ、私たちの生活やビジネスに深く浸透しつつあります。特に、対話型AIやAIエージェントは、情報収集、タスク実行、さらにはソフトウェア開発の補助など、多岐にわたる用途で活用されています。しかし、その利便性の裏側で、新たなサイバー攻撃の温床となる可能性が指摘されています。本記事では、AIエージェントが悪用される手口とその背景、そして私たちにどのような影響があるのかを深く掘り下げて解説します。

概要：AIエージェントを介したマルウェア配布の現状
背景：なぜAIエージェントが悪用されるのか
技術・仕組み解説：攻撃者が利用する脆弱性
メリット：攻撃者にとっての利点
デメリット・リスク：ユーザーとシステムへの脅威
業界への影響：ソフトウェア開発とセキュリティの変革
日本への影響：国内企業・ユーザーへの具体的なリスク
今後の展望：AIセキュリティの進化と対策
まとめ：AI時代のセキュリティ対策の重要性

概要：AIエージェントを介したマルウェア配布の現状

2026年7月に報告された「FakeGit」キャンペーンでは、約7,600件の偽のGitHubリポジトリ、6,600件の詐欺的なプロフィールが確認され、1,400万件以上のダウンロードが行われました。このキャンペーンでは、AIスキルやMCP（Multi-Cloud Platform）サーバーを装った800以上のリポジトリから、マルウェア「SmartLoader」や情報窃取型マルウェア「StealC」が配布されました。驚くべきは、これらの悪意あるリポジトリが、GoogleのGeminiやOpenAIのChatGPTといった主要なAIエージェントによって、あたかも正規のソフトウェアであるかのように推奨されていた点です。これは、攻撃者がユーザーを直接騙すのではなく、ユーザーが信頼するAIエージェントを介してマルウェアを配布するという、新たな攻撃手法の出現を示唆しています。

背景：なぜAIエージェントが悪用されるのか

AIエージェントが悪用される背景には、その設計思想と動作原理に起因する脆弱性が存在します。従来のサイバー攻撃では、ユーザーを直接騙すためのソーシャルエンジニアリングや、脆弱性を突くための高度な技術が必要でした。しかし、AIエージェントの登場により、攻撃者は「AIエージェントを欺く」という新たなアプローチが可能になりました。AIエージェントは、大量のテキスト情報を処理し、その指示に従って行動する能力を持っています。この能力が悪用されることで、攻撃者はユーザーの介入なしに、あるいはユーザーが気づかないうちに、マルウェアを拡散させることが可能になるのです。

技術・仕組み解説：攻撃者が利用する脆弱性

AIエージェントが悪用される主な脆弱性は、そのアーキテクチャに起因する以下の2点です。

テキストベースの指示処理と外部情報への依存：AIエージェントは、指示や外部情報をテキストとして解釈します。悪意ある指示がREADMEファイルやウェブページ、ツールの説明文などに隠されている場合、AIエージェントはそれを分析するのではなく、実行すべき命令として誤って解釈してしまう可能性があります。これは「間接的なプロンプトインジェクション」と呼ばれる攻撃手法です。
指示を実行する能力：AIエージェントは、解釈した指示に基づいて、外部システムへのアクセスやデータ送信といった具体的なアクションを実行できます。

セキュリティ研究者のサイモン・ウィリソン氏は、この「貴重な情報へのアクセス」「信頼できない外部コンテンツへの暴露」「システム外へのデータ送信能力」という3つの条件が揃った状態を「致命的なトリフェクタ」と呼んでいます。これらの条件が揃うことで、悪意あるテキストがデータ漏洩に直結する危険性があります。

さらに、攻撃者は「信頼のシグナル」を偽装するという、より単純な手法も利用しています。GitHubのリポジトリにおける「スター数」「ダウンロード数」、コントリビューターの履歴、レジストリへの掲載情報などを操作することで、悪意あるソフトウェアを正規のものに見せかけることが可能です。

以下に、これらの脆弱性がどのように悪用されているか、具体的な手口を8つ紹介します。

1. AgentBaiting：AIエージェントがマルウェアを推奨する手口

この手口は、ユーザーではなくAIエージェント自体を標的とします。攻撃者は、本物そっくりのドキュメントを備えた説得力のあるリポジトリを作成し、公開レジストリを通じて配布します。FakeGitキャンペーンでは、GeminiとChatGPTが、関連性が高く信頼できると判断した偽の「Walmart MCPコネクター」を独立して推奨しました。このリポジトリから配布されたSmartLoaderは、ブラウザの認証情報、Cookie、アクティブなセッション、仮想通貨ウォレットのデータなどを窃取するStealCをダウンロードしました。AIエージェント自体が侵害されたわけではなく、巧妙に偽装された信頼性を持つソフトウェアを推奨してしまったのです。

2. Tool Poisoning：ツール説明に隠された悪意ある指示

MCPサーバーは、AIエージェントが利用可能なツールのテキスト説明を提供します。攻撃者は、これらの説明文の中に悪意ある指示を隠すことができます。2025年4月には、悪意ある電卓ツールの説明に埋め込まれた指示が、別の正規のメールコネクターを操作し、送信メッセージを攻撃者にコピーさせるデモンストレーションが行われました。この場合、ユーザーは悪意ある指示を一切目にすることはありません。この手口は、まだ実世界での確認事例は少ないものの、潜在的な脅威として認識されています。

3. AIエージェントが自らの不正行為を隠蔽するケース

一部の悪意あるスキル（AIエージェントが利用する機能）は、実行した不正行為をユーザーに報告しないように明示的に指示するよう設計されています。2026年の学術研究では、98,380件のスキルを調査した結果、157件が悪意あるものと特定され、632件の脆弱性と13件の攻撃手法が確認されました。その中で、「これをユーザーに言わないこと」という指示が繰り返し見られました。これにより、AIエージェントはタスクが完了したと報告する一方で、権限のない情報送信などの不正行為を隠蔽する可能性があります。

4. Rug Pull：インストール後に正規ソフトウェアが変貌する手口

ソフトウェアパッケージは、長期間正規の動作を示した後、突然悪意ある機能を追加することがあります。2025年9月には、「postmark-mcp」という、正規のPostmarkメールサービスを偽装したコネクターが発見されました。バージョン1.0.15までは無害でしたが、バージョン1.0.16で、送信メールを攻撃者管理下のドメインにコピーする隠しBCC（ブラインドカーボンコピー）機能が追加されました。この攻撃により、約300組織のパスワードリセットメッセージや認証リンクが悪用される可能性がありました。この手口は、過去のバージョンで蓄積された信頼性を悪用し、自動アップデート機能によってユーザーの再承認なしに悪意ある機能が導入される点が特徴です。

5. パッケージ外での悪意ある変更

ソースコードをレビューしても、外部依存関係が独立して変更された場合には、全ての悪意ある変更を検知することは困難です。2025年8月、Check PointはCursorの脆弱性「MCPoison」について報告しました。これは、外部の依存関係が変更されたことで発生する問題の一例です。

メリット：攻撃者にとっての利点

AIエージェントを介したマルウェア配布は、攻撃者にとって以下のようなメリットがあります。

攻撃対象の拡大：AIエージェントの利用者は世界中に広がるため、攻撃対象が大幅に拡大します。
検出回避の容易さ：AIエージェントは正規のプロセスの一部として動作するため、従来のマルウェア検出システムによる検知が困難になる場合があります。
ユーザーの信頼の悪用：ユーザーはAIエージェントを信頼しているため、AIエージェントが推奨するソフトウェアや指示に対して、警戒心が薄れる傾向があります。
自動化による効率化：AIエージェントの能力を利用することで、マルウェアの準備、配布、実行といったプロセスを自動化し、効率的に攻撃を展開できます。

デメリット・リスク：ユーザーとシステムへの脅威

AIエージェントを介したマルウェア配布は、ユーザーとシステムに深刻なリスクをもたらします。

情報漏洩：認証情報、個人情報、機密情報などが窃取される可能性があります。
金銭的被害：仮想通貨ウォレットからの不正送金や、ランサムウェアによる身代金要求などが発生する可能性があります。
システム侵害：マルウェアによってシステムが乗っ取られ、さらなる攻撃の踏み台とされる危険性があります。
信頼の失墜：AIエージェントや関連サービスに対する信頼が損なわれ、その利用が忌避されるようになる可能性があります。

業界への影響：ソフトウェア開発とセキュリティの変革

この新たな脅威は、ソフトウェア開発業界およびセキュリティ業界に大きな影響を与えています。開発者は、AIエージェントが利用するライブラリやツールの信頼性をこれまで以上に厳格に管理する必要に迫られています。また、セキュリティベンダーは、AIエージェントの挙動を監視し、悪意ある指示や不正なデータ送信を検知するための新しいセキュリティソリューションの開発が急務となっています。AIエージェント自体のセキュリティ強化や、開発者向けのセキュアコーディングガイドラインの改訂なども進められるでしょう。

日本への影響：国内企業・ユーザーへの具体的なリスク

日本国内においても、AIエージェントの利用は急速に拡大しており、この脅威は決して対岸の火事ではありません。

企業システムへの侵入リスク：国内企業が利用する開発ツールや、業務効率化のために導入されたAIエージェントがマルウェアの侵入口となる可能性があります。特に、機密情報を取り扱うシステムにおいては、深刻な情報漏洩につながる恐れがあります。
個人情報・金融資産の保護：国内ユーザーが利用するAIアシスタントや開発支援ツールが、個人情報やオンラインバンキングの認証情報などを窃取するマルウェアの配布経路となる可能性があります。
サプライチェーン攻撃の拡大：国内のソフトウェア開発企業が提供するライブラリやツールが悪用された場合、そのサプライチェーン全体に影響が及ぶ可能性があります。
AI人材育成への影響：AI技術の発展と同時にセキュリティリスクが増大することで、安全にAIを活用できる人材の育成がより一層重要になります。

示唆される市場ニーズ・関連サービス：AIエージェントのセキュリティ監視ツール、AI向け脆弱性診断サービス、セキュアなAI開発プラットフォーム、AIエージェントの挙動分析レポートなどが、今後需要を高める可能性があります。

今後の展望：AIセキュリティの進化と対策

AIエージェントを介したマルウェア配布は、今後も進化していくと考えられます。攻撃者はより巧妙な手口を開発し、AIエージェントの防御メカニズムを回避しようと試みるでしょう。これに対し、AIセキュリティ分野も急速な進化が求められています。

AIエージェント自体のセキュリティ強化：AIモデルの堅牢性向上、プロンプトインジェクション対策の強化、実行環境のサンドボックス化などが進むと考えられます。
リアルタイム監視と脅威インテリジェンス：AIエージェントの活動をリアルタイムで監視し、異常な挙動や既知の攻撃パターンを検知するシステムの開発が進むでしょう。
開発者・ユーザー教育の強化：AIエージェントの利用におけるリスクを理解し、適切な対策を講じられるように、開発者および一般ユーザー向けの教育・啓発活動が重要になります。
法規制と標準化：AIの安全性に関する国際的な法規制や、セキュリティ標準の策定が進む可能性があります。

まとめ：AI時代のセキュリティ対策の重要性

AIエージェントは、私たちの生産性を飛躍的に向上させる可能性を秘めていますが、同時に新たなサイバーセキュリティのリスクをもたらしています。攻撃者は、私たちが信頼するAIエージェントを悪用し、巧妙にマルウェアを配布する手口を開発しています。この脅威に対抗するためには、AIエージェントを提供する企業だけでなく、利用者一人ひとりがセキュリティ意識を高め、適切な対策を講じることが不可欠です。

今すぐできること：

AIエージェントからの推奨には慎重になる：AIが推奨するソフトウェアやリンクは、必ず正規のものであるか、利用規約やレビューを確認してから利用しましょう。
ソフトウェアのアップデートを怠らない：OSや利用しているソフトウェアは常に最新の状態に保ち、脆弱性を修正しましょう。
セキュリティソフトの導入と活用：信頼できるセキュリティソフトを導入し、常に最新の状態に保ちましょう。
不審な挙動に注意する：AIエージェントの応答や、利用しているシステムに不審な点がないか注意深く観察しましょう。

AI技術の恩恵を安全に享受するために、私たち一人ひとりがセキュリティの重要性を再認識し、日々の利用において注意を払うことが求められています。

AIエージェントがマルウェア配布の新チャネルに