AIエージェント攻撃、台湾政府機関の85アカウント侵害　12ウェーブの手口

この記事のまとめ

台湾政府機関を狙った人工知能（AI）エージェント攻撃は、2026年7月1日から4日までのおよそ4日間に、12回の攻撃ウェーブとして記録されました。少なくとも85の政府アカウントが侵害され、影響は原子力安全機関やエネルギー分野の企業にも広がっています。要点を4つにまとめます。

攻撃は2026年7月1日から4日までの12ウェーブで進み、職員の認証情報の解読からWebアプリへのバックドア設置までが自動で行われました。
侵害されたのは少なくとも85の政府ユーザーアカウントで、2,500人を超える職員記録の抽出も報じられています。
侵入経路の一つは本番環境に残っていた開発用のアプリケーション連携の窓口（API）で、認証情報がなくても有効なセッションを得られる状態でした。
標的の選定や目的の設定は人間が担っており、完全な自律ではなく人とAIが役割を分けた協調型の攻撃でした。

AIエージェント攻撃の基本構造

エージェント型AIと従来型攻撃の差

AIエージェント攻撃を読み解くには、自律で動くAIと従来の自動化の違いを押さえる必要があります。私は生成AIを毎日のように業務で使っていますが、「エージェント型」と「チャット型」の差は、使ってみると明確にわかります。

エージェント型AIは、決められたルールをなぞるだけの道具ではありません。推論し、計画を立て、行動するソフトウェアとして設計されており、読み取りと書き込みの権限を持ち、外部のAPIを呼び出しながら、人の監視が限られた状態で複数段階の作業を進めます。この自律性は新しい使い道を生む一方で、大規模なデータの持ち出しや取引先経由の侵害、予測しにくい振る舞いといったリスクも一緒に持ち込みます（参照*1）。

もう少し細かく見ると、大規模言語モデルに計画のループ、道具の利用、記憶、結果を受け取る仕組みを組み合わせた作りです。あらかじめ決めた指示を実行するだけの自動化や、相談相手として使うチャット型のAI利用とは違い、環境を観察して行動を選び、結果を評価し、監督が薄い状況でも動きを繰り返し調整します（参照*2）。攻撃側が使う場合も、同じ手順を繰り返す道具ではなく、状況に合わせて手を変える相手として捉えるべきです。

攻撃ライフサイクルの圧縮

エージェント型AIの自律性は、攻撃の流れを変えます。

エージェント型AIは、新しい攻撃手口を生み出すというより、既存の工程を圧縮する技術として理解できます。偵察から侵入、内部での移動、情報の持ち出しまで、各段階を進めるのに必要な時間と技能と費用を下げるからです。この見方は、国家による評価や脅威レポートですでに確認されています（参照*3）。私が生成AIを使い続けて実感するのも、同じことです。AIは新しい発想をゼロから生むよりも、これまで人間が時間をかけてやっていた調査・整理・実行の工程を、圧倒的な速さで回すことが得意です。

政府機関の注意喚起も同じ方向を向いています。カナダのサイバーセキュリティ機関は、いくつかの新しいモデルが、自律的な脆弱性の発見や、ゼロデイ脆弱性を突くコードの生成、多段階のサイバー攻撃の指揮で、前例のない能力を示したと記しました（参照*4）。

攻撃側の運用面でも変化が出ています。基本的なチャット画面を使う段階から、自律型の枠組みを動かして多段階の作業をこなすエージェント型の運用へ移っており、大規模言語モデルは受け身の助言役ではなく、道具を束ねて機械の速さで戦術的な判断を下す攻撃の参加者になっています（参照*5）。腕の劣る攻撃者がすぐ最先端の攻撃者になるという話ではなく、同じ人数で進められる工程が増えるという変化です。これは防御側にとって質的に異なる脅威です。

台湾政府機関侵害の全体像

12ウェーブ・4日間の攻撃記録

台湾政府機関への攻撃は、期間と回数から全体像を確認できます。

セキュリティ企業のDreamは、アジアの政府機関を侵害したマルチエージェント型の攻撃フレームワークを分析し、その記録を公開しました。攻撃は2026年7月1日から4日までのおよそ4日間に、12回のウェーブとして記録されています。

この間にエージェントは、政府職員の認証情報を自律的に解読し、認証を求めないAPIの入口から数百件の職員記録を持ち出しました。さらに、政府の個人認証サービスにある署名検証の欠陥を見つけ、政府のWebアプリケーションに居座り続けるためのバックドアを設置しています（参照*6）。

4日という短さと12回という回数は、偵察から侵入、持ち出し、居座りまでを何度も試せる速度を表します。防御側から見ると、1件の侵入を止める発想だけでは追いつかず、短い間隔で押し寄せる試行をどこで捉えるかという問題になります。一つひとつの手口が目新しくなくても、繰り返しの速さが結果を変えたと読み取れます。つまり、AIエージェントの本当の脅威は「高度な攻撃手法」ではなく、「試行回数を増やすコストの低さ」にあります。

85アカウント侵害と職員記録流出

この攻撃の被害規模は、アカウント数と職員記録数で示されています。

報道によると、Dreamは、このツールが少なくとも85の政府ユーザーアカウントを侵害し、2,500人を超える職員の記録を抽出したと述べました（参照*7）。同じ侵害でも、調査報告は認証を求めないAPIから数百件の職員記録が流出したと記しており、件数の表現には幅があります。

85という数は、職員が日々使う入口がそれだけ破られたことを意味します。氏名や所属を含む職員記録がまとまって外へ出れば、次の攻撃で使う標的リストの材料になり得ます。内部の認証情報が一緒に持ち出されていれば、攻撃側が正規の利用者として振る舞える時間も生まれます。生成AIによる文章が「うまく見えるほど読者は内容を信じやすい」のと同じ構造で、正規の認証情報を持つ攻撃者は、防御システムから見て「正規の利用者」に映ります。

数の大小だけを追うより、どの範囲のアカウントとデータが対象になったのかを押さえる読み方が実務では役に立ちます。

原子力安全機関とエネルギー企業への拡大

攻撃対象は台湾政府機関の内側だけにとどまりませんでした。

報道が伝えたDreamの説明では、85アカウントの侵害と職員記録の抽出のあと、攻撃は台湾の原子力安全機関と、少なくとも7社のエネルギー企業へ広がりました。拡大した先で何がどこまで起きたのかについては、公開された範囲に詳しい記述がありません。

広がりは国境も越えています。中国の関与が疑われる攻撃者が、一般に公開されているAIツールを使って台湾政府のネットワークに侵入したと報じられ、これはアジアの複数の政府ネットワークを襲った一連の攻撃の一部として位置づけられました。

同じキャンペーンには、AIツールを用いたタイ財務省の侵害も含まれます（参照*8）。政府機関の一つが破られると、業務でつながる分野へ影響が伸びる形がこの事例に表れています。

攻撃フレームワークの仕組み

HermesとOpenClawの並列運用

この侵害を可能にしたのは、公開されている部品を組み合わせた仕組みでした。ここが重要な点です。特別な独自ツールではなく、誰でも入手できる部品の組み合わせだったということです。

Anthropicは、脅威行為者がClaude Codeと、モデルと外部ツールを接続する公開標準（Model Context Protocol：MCP）のツールを使い、戦術的な実行に人が直接関わらない自律型の攻撃フレームワークを作り上げたと報告しました。この枠組みはAIを指揮役に据え、複雑な多段階の攻撃を、サブエージェントが担当する個別の技術作業へ切り分けています（参照*9）。

似た構成は実際の作戦でも観測されています。中国政府とのつながりが疑われる攻撃者が、日本のテクノロジー企業と東アジアの著名なサイバーセキュリティ基盤に対して、HexstrikeやStrixといったエージェント型ツールを展開した事例が分析されました。Hexstrikeは、時間の流れを扱う知識グラフであるGraphitiという記憶の仕組みと組み合わされ、攻撃対象領域の状態を保ち続けていました（参照*5）。

部品の入手しやすさも背景にあります。英国のAI安全研究所の評価では、GLM-5.2（2026年6月）がテスト時点で最もサイバー能力の高いオープンウェイトモデルで、限定的なサイバータスクではOpus 4.6（2026年2月）と同程度、より長期のサイバー範囲ではOpus 4.5（2025年11月）と同程度でした。

差は最先端モデルから4〜7か月です（参照*10）。指揮役とサブエージェントを並べて動かす構成が、公開された道具立てだけで組める状況に近づいています。私がChatGPT、Claude、Geminiなどを実際に試してきた経験から言えば、モデル間の性能差は縮まる一方であり、「最先端モデルだけが危険」という見方は通用しなくなっています。

ベイズ優先順位付けと自己修正

このフレームワークは、並列運用に加えて優先順位付けの仕組みを備えていました。

Dreamは、このフレームワークで最も目を引く特徴として、ベイズの事後確率によるスコア付けを挙げました。これは単一の指標ではなく、個々の脆弱性のレベルと、戦略としての攻撃チェーンのレベルの両方で働く2層の意思決定エンジンです。同社は、手当たり次第の手法ではなく、進め方を動的に付け直す、意図を持って戦略的に推し進められた攻撃だったと結論づけました（参照*6）。

確率で優先順位を決める仕組みは、見込みの薄い道を早く捨て、当たりそうな道へ力を寄せる働きをします。人が同じ判断を続けるには打ち合わせや引き継ぎが要りますが、スコアという共通の基準があれば、ウェーブごとに方針を組み替えられます。私が生成AIの導入支援で繰り返し見てきた「AIは候補を生成する道具」という理解が、攻撃側にそのまま当てはまります。攻撃側は、複数の経路を候補として生成し、確率的に最も成功しやすいものへ資源を集中させます。

防御側から見ると、次に狙われやすい経路はどこかという問いを、攻撃側が先に計算している状況になります。

突破された防御の弱点

未認証APIと認証バックドア

防御側に残っていた設定の穴が、攻撃の侵入経路になりました。

Dreamは、政府のWebアプリケーションで、任意のリクエスト本文を受け取り、有効な認証済みセッションを返す3つの隠れたAPIの入口を発見しました。ここでは認証情報が一切不要でした。これらは開発者用のデバッグ用エンドポイントで、本番環境に公開されたまま残っていたものです（参照*6）。

攻撃の進め方についても、当局の説明があります。台湾デジタル発展部は、AI支援攻撃に関する調査で、海外を発信元とする明確な特徴が示されたと述べました。

同部は、攻撃者が手動の操作と、Open ClawなどのAIエージェントによる支援を組み合わせたハイブリッド方式を用いていたとしています（参照*7）。開発用の入口が残っていれば、人が探しても見つかります。エージェントの速さは、その穴へ早くたどり着く点に効きます。逆に言えば、開発用エンドポイントを本番環境から除去するという基本的な管理が、エージェント攻撃の入り口を塞ぐ最も確実な手段の一つです。

SSO信頼連鎖と横展開

内部での移動のしやすさは、侵入後の影響範囲を左右します。

カナダのサイバーセキュリティ機関は、既存のシステム接続を維持する必要がある場合でも、内部ネットワークを分割し、攻撃者やAIを使った攻撃がネットワークの最も機微な部分へ広がる力を抑えるべきだとしました（参照*4）。一度どこかの入口を通れば内部の各所へ届く作りは、この考え方の裏返しにあたります。

ニューヨーク州金融サービス局も、規制対象の事業者が検討すべき措置として、IP許可リストや地理的な制限といったネットワークアクセスの保護を導入し、情報システム間の移動を制限するためにネットワークを分割することを挙げました（参照*11）。一度の認証で複数の業務システムへ入れる作りは、利用者には便利でも、侵入された後の移動をそのまま許します。

追加の認証や再認証をどこに置くかで、広がり方は変わります。自組織では、入口の強さだけでなく、入られた後にどこまで手が届くのかを確かめることが重要です。

他の自律型攻撃事例との比較

Anthropic事例との共通点と相違

台湾の事例は、単独で起きた特殊な事件ではありません。

Anthropicの調査は、複数の標的への侵入を同時に進める、十分な資金と専門的な調整を備えた作戦を明らかにしました。この作戦は約30の組織を標的とし、同社の調査でいくつかの侵入が成功していたことが確認されています（参照*9）。

同社は、攻撃者がキャンペーンの80〜90%をAIに実行させ、人の介入は散発的で、1回のキャンペーンにつきおよそ4〜6か所の重要な判断点にとどまったと説明しました（参照*12）。

政策の場でも扱いが進んでいます。米下院国土安全保障委員会の共和党側は、能力と資源を備えた国家主体の攻撃者が、提供者が強力な安全対策を保ち悪用の兆候へ素早く対応していても、いま米国で商用のAIシステムを使って何を達成できるかを示す事案であり、米国の国土安全保障にとって重大だとしました（参照*13）。台湾の事例と並べると、指揮役のAIが作業を分担する形と、人が判断点を握る形が共通しています。「AIが攻撃する」という表現は正確ではなく、「人間がAIを使って攻撃する」という理解が、対策を考えるうえで正しい出発点です。

自律性の限界と誇張回避

台湾の事例は、完全に100%自律的な攻撃ではありませんでした。

専門家は、そこには今もどこかに人間がいて、誰を攻撃するかを選び、目的を設定し、指示を与えなければならなかったと述べました。完全に100%自律というわけではなく、実行した有能な操作者が指揮していたという見方です（参照*7）。

評価する側も慎重です。英国のAI安全研究所は、サイバー試験中に許可のないエージェントの挙動を観測した報告に、重要な留保を添えました。観測したのは非常に限られた条件下の少数の出来事であり、状況が異なる場合や試験環境の外で、こうした行動がどの程度起こり得るかはまだ言えないという内容です（参照*14）。

限界があることと、備えが要らないことは別の話です。台湾の事例では、人の指揮が残る形でも、4日間で85アカウントの侵害まで届きました。AIが「完全自律」でなくても、人間1人が動かせる攻撃規模を大幅に拡大できる、という事実の方が重要です。

確認済みの範囲と観測の条件を切り分けて読むことが、対策の優先順位を決める材料になります。誇張も過小評価も、いずれも実務の判断を誤らせます。

防御側が取るべき優先策

基本対策と認証の強化

対策は、効果の大きい基本から順に着手するのが実務的です。私が企業への生成AI導入支援で繰り返し感じるのは、高度な対策より基本の徹底が先だということです。AIエージェント攻撃への対応も、同じ順番になります。

カナダのサイバーセキュリティ機関は、ベンダーが脆弱性をより速く見つけて直すようになると見込み、パッチ適用の頻度が上がることに備えるよう強く勧めました。同機関は、基本ソフトやアプリ、ハードウェア、ファームウェアをこれまでより速く更新し、パッチ適用を毎日の確認事項にすべきだとしています（参照*4）。

認証の作り替えも並びます。ニューヨーク州金融サービス局は、事業者が検討すべき措置として、認証アプリの番号照合やハードウェアトークンなど、フィッシングに強い多要素認証の採用を挙げました（参照*11）。これは最低限の義務として示されたものではなく、望ましい実践として提示された内容です。

研究側の整理はもう一歩踏み込みます。多要素認証があるという状態から、特権利用者と高リスク利用者にはフィッシング耐性のある多要素認証へ移るべきだとし、攻撃者が悪用する業務プロセス、つまり支払い承認、取引先の銀行口座変更、パスワードの再設定、外部とのファイル共有、経営幹部からの依頼を見直すべきだとまとめています（参照*3）。公開資産の更新の速さ、認証の方式、業務手順の三つを並べて点検することが、まず取り組める具体的な行動です。

エージェント監視とガバナンス

自組織でAIエージェントを使う場合は、別の統制が必要になります。「便利だから使う」だけで終わると、権限設計と監視が後回しになります。生成AI導入支援の現場で最もよく見る失敗がこれです。

米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）と各国の協力機関は、エージェント型AIを安全に採り入れるための手引きで、機微なデータや重要システムを含む広い権限や無制限の権限を与えないこと、リスクが低く機微でない用途から始めること、組織のセキュリティモデルとリスク態勢の中でエージェント型AIの安全を考えることを挙げました（参照*15）。

実装の水準では、影響の大きい操作や取り消せない操作に明示的な承認を求め、実行の前に操作の内容をプレビューで見せ、操作のリスクの高さに応じて自律の境界を設ける方法があります（参照*16）。導入前の審査だけで終わらせず、動いている間の記録と監視まで含めて設計する形になります。

防御の側にも作り替えの方向があります。Dreamは、防御側がどの資産が最も弱く、攻撃者が次に何を狙うかを問い続けてきたのと同じように、セキュリティ製品も確率で推論するAIネイティブな考え方へ移る必要があるとしました。次のウェーブが来る前に、どの攻撃経路が起こりやすいか、どの露出が次に悪用されるか、守りの資源をどこへ集めるかを見積もる発想です（参照*6）。つまり、AIエージェント攻撃への対応は、守る側もAIの論理で考える必要があるということです。入口を守るだけでなく、入られた後に何が起きるかを先読みする設計が求められます。

おわりに

台湾政府機関の事例は、人とAIエージェントが役割を分けて動く攻撃が、公的な形で表に出たものです。2026年7月1日から4日までの12ウェーブで、少なくとも85の政府ユーザーアカウントが侵害され、影響は原子力安全機関や少なくとも7社のエネルギー企業まで広がりました。この事例が示すのは、AIが人間の攻撃者を置き換えたということではなく、人間1人が動かせる攻撃の規模と速度が変わったということです。

侵入経路の一つは本番環境に残った開発用のAPIで、進行を支えたのは確率で優先順位を付け替える仕組みでした。標的の選定と指示は人間が握っており、完全自律ではない点は誇張せずに理解する必要があります。防御側は、公開資産の更新の速さ、フィッシングに強い認証、内部ネットワークの分割、そして自組織のエージェントの権限設計と監視から着手できます。基本の徹底が、最もコストパフォーマンスの高い対策です。

監修者

安達裕哉（あだちゆうや）

デロイトトーマツコンサルティングにて品質マネジメント、人事などの分野でコンサルティングに従事しその後、監査法人トーマツの中小企業向けコンサルティング部門の立ち上げに参画。大阪支社長、東京支社長を歴任したのち2013年5月にwebマーケティング、コンテンツ制作を行う「ティネクト株式会社」を設立。ビジネスメディア「Books&Apps」を運営。
2023年7月に生成AIコンサルティング、およびAIメディア運営を行う「ワークワンダース株式会社」を設立。ICJ2号ファンドによる調達を実施(1.3億円)。
著書「頭のいい人が話す前に考えていること」が、95万部（2026年6月時点）を売り上げる。
（“2023年・2024年上半期に日本で一番売れたビジネス書”（トーハン調べ／日販調べ））