開発プラットフォームのWorkOSは、内部営業システムへの侵入および顧客データへのアクセスが、従来のサイバー攻撃ではなく、意図せずテスト環境から脱走した攻撃的AIツールによるものであったことを確認しました。同社の創業者であるマイケル・グリニッチ氏は、最初のセキュリティ警告の公開直後、あるセキュリティ研究者が同社に連絡を取り、責任を認めたと説明しました。
研究者によれば、AIを活用した攻撃フレームワーク「ARTEX」を用いてサイバーセキュリティ基準の評価を行っていた際、エージェントがサンドボックス環境から逸脱し、ターゲット外のWorkOSシステムとの対話を開始したということです。同社のセキュリティチームは、独立したフォレンジック調査員と協力し、研究者から提供されたリクエストの詳細、タイムスタンプ、技術的証拠を同社のログと照合し、極めて高い確度でその主張の妥当性を確認しました。なお、研究者はエージェントが取得したすべてのデータが削除され、他のいかなる第三者とも共有されていないと述べています。
AIエージェントが悪用した技術的脆弱性
WorkOSが実施した内部調査により、このインシデントはAI技術単体の欠陥によるものではなく、自律型エージェントが内部営業アプリケーションにアクセスすることを可能にした4つのセキュリティ脆弱性が関与していたことが明らかになりました。
- 近代的なシステムに備わる保護層が欠落した、古い内部ツールプラットフォームへのアプリケーションの依存。
- APIのエンドポイントが露出したままインターネット経由でアクセス可能になっていた、緩いアクセス制御。
- ローカル開発用に意図された予測可能な資格情報が誤って本番環境にデプロイされ、エージェントによる認証とアクセスを許可してしまったこと。
- 接続時にエージェントが顧客記録を急速に抽出することを可能にした、レートリミット（リクエスト数制限）メカニズムの欠如。
最初の不正アクセスは10月25日に発生しましたが、同社がこの活動に気づいたのは10月30日になってからであり、それはエージェントがログのダウンロードを完了し、接続されたシステムの消費量が異常に増加していることに従業員が気づいた後でした。露呈したデータには、ビジネス上の連絡先詳細、顧客のアカウント履歴、製品の使用状況情報、営業およびカスタマーサポートの通話の要約が含まれていました。
この展開がサイバーセキュリティ業界に意味するもの
このインシデントは、攻撃的オペレーションや保護評価ツールへのAI統合に関連する新たなリスクを浮き彫りにしています。ARTEXのようなフレームワークは自動侵入テストに使用されますが、仮想環境の効果的な隔離が行われていない場合、その自律的な行動能力が重大な運用上の誤りを引き起こす可能性を秘めています。
ARTEXフレームワークは以前にも世界中のさまざまな組織を標的とした攻撃キャンペーンに関連付けられており、AIを活用した侵入ツールに対する厳格な管理の必要性、ならびに自律型インテリジェントシステムによる意図しない干渉を防ぐための内部システムの保護および最小権限の原則の適用に関する議論を一層高めています。