Unit 42：自律型攻撃ループは実現可能であり、確認された成功はすべて手動だった

2026年7月30日、Palo Alto NetworksのUnit 42は、言語モデルを攻撃ループそのものに組み込んだ中国語話者のオペレーターに関する調査結果を公表した。このオペレーターは、Nous Researchのオープンソース端末エージェントであるHermes Agent内でDeepSeekを稼働させ、Telegram経由で指示を受け取っていた。オペレーターは460以上の標的に対して試行し、8つのCVE識別子にまたがる7つの脆弱性トラック用のエクスプロイトツールを保持していた。機械が単独で行ったほぼすべての行為は侵害につながらなかった。自律型のエクスプロイト試行はいずれも、標的側がすでに無効化していた前提条件の段階で失敗した。人が主導した行為は影響を生んだ。3つのCitrix NetScaler展開からメモリデータが窃取され、11のMarimoノートブックインスタンスでコマンド実行が確認され、マレーシア政府のシステムが数日連続で攻撃・操作された。引用されたいずれの報告書でも被害者名は示されておらず、説明全体はオペレーター自身が露出させたサーバーから再構成された。アーカイブの重大度評価と引用元を含む完全な記録は、Orca AI Incident Archiveに、同じ週の隣接するエントリとともに収録されている。

そのオペレーションがどのように視界に入ったか

Unit 42はこのキャンペーンを検知しなかった。攻撃者自身のエージェントがそれを引き渡した。Telegramのコマンドに応答して、Hermes AgentはHTTPファイルサーバー — python3 -m http.server 8888 — を、隔離されたステージングディレクトリではなく、攻撃者のホームディレクトリ /home/worker から起動した。あるデフォルトの動作がワークスペースをさらした。AIツールの設定、APIキー、エクスプロイトスクリプト、標的リスト、bashの履歴、そしてUnit 42が後に攻撃サイクルを一歩ずつ再構築するために使用することになるHermesの自律セッションログである。

Unit 42は、この露出事案を意図しないものと説明し、行為者が他の場面では不注意ではなかったことも記録している。エクスプロイト用ディレクトリは使用後に空にされ、Codexの会話ログはローカルでの応答保存を制限するために無効化されていた。同じ開示を2026年8月4日に分析したCloud Security AllianceのAI Safety Initiativeは、より鋭い指摘をした。運用者は従来型のトレードクラフトを実践していたが、エージェントフレームワークの便利さ優先のデフォルト設定がそれを一手で台無しにした。そして、エージェントフレームワークを採用する攻撃者は、その能力とともにデフォルト設定も引き継ぐのである。

利用可能な証拠に基づく、操作者が誰であるか

Unit 42は、アクターをハンドル名 knaithe および KnYuan によってのみ特定している。珠海に関する評価はGitHub上の活動、とりわけアクターによる1DayNewsの保守に依拠している。1DayNewsは、主にネットワーク境界ベンダーである17の情報源からリモートコード実行の開示情報を集約し、DeepSeekを用いて悪用可能性について絞り込み、Telegram経由でアラートを配信する、自動化された脆弱性インテリジェンス・パイプラインである。2026年7月31日にInfosecurity Magazineとのインタビューで、Unit 42の脅威インテリジェンス担当シニアディレクターであるAndy Piazzaは、同じ人物を「機会主義的なエクスプロイト運用者であり、自称バイナリセキュリティ研究者」と表現した。

引用されたどちらの報告書にも、国家関与の主張はない。{{1}}CSAの注記は、この開示が国家関与の指標を何ら特定しておらず、そのリソースと範囲は、市販の推論モデルと無償で入手可能なエージェントフレームワークを用いて一人が攻撃的ワークフローを組み立てたものと整合的であると述べている。{{/1}}{{2}}Infosecurity Magazineは、このキャンペーンの標的が中国とマレーシアを含む3か国に及んでいたと報じている。{{/2}}

自律型の半面：2つの製品、2つの失敗

Unit 42は、2026年5月付のHermes Agentセッションを完全な形で1件復元したが、冒頭のタスク以外のオペレーター入力は復元できなかった。ログから分かるのは、指示なしに自らターゲットを選び、それを放棄するエージェントの姿である。

Langflow と CVE-2026-33017（CVSS 9.8）から始まった。GitHub から公開済みの概念実証（PoC）をダウンロードし、中国の資産検索エンジン FOFA でクエリ title="Langflow" を用いて 84 件の Langflow インスタンスを列挙し、そのうち 1 件が脆弱なビルド 1.3.4 を稼働していることを見つけた。この脆弱性を悪用するには auto_login が有効か公開 flow ID のいずれかが必要だが、対象にはどちらもなかったため、攻撃は失敗した。報告書に引用されたエージェント自身の判定は次の通り。「3 件すべての Langflow に公開 flow ID が必要だが auto_login はない — 行き詰まり。デプロイ規模は小さく（稼働 84 件）、悪用可能なものはおそらく 0。より大規模な脆弱性を探せ。」

その後、それは指示が求めていなかったことを実行した。FOFA上で10の製品ファミリーにわたるデプロイ数を調査し、GitHubでスター数順に並べた注目の2026 CVE PoCリポジトリを検索し、重大度、フットプリント、悪用可能性で候補をランク付けした末にn8nを選んだ——ログでは、そのPoCの258スターとCVSS 10.0を根拠に正当化されている。FOFAによれば、n8nは世界で647,017インスタンス、そのうち25,209が中国にある。

n8n の脆弱性チェーンは、CVSS 10.0 の任意ファイル読み取りである CVE-2026-21858（1.121.0 で修正済み）と、CVSS 9.9 のサンドボックス回避によるリモートコード実行である CVE-2025-68613（1.120.4 で修正済み）でした。エージェントはバージョン範囲を自ら確認し、「CVE によれば、AFR は 1.121.0 で修正済み、RCE は 1.120.4 以降で修正済みとされている。つまり v1.117.3 は両方に対して脆弱だ！」と述べ、その後 25,209 件のうち約 100 件のアドレスをサンプリングし、そのうち約 40 件を調査して、脆弱なバージョンを実行している 3 件（1.18.0、1.117.3、1.108.2）を発見しました。

3つとも同じ理由で失敗した。エクスプロイトにはファイルアップロードを伴う認証不要のフォームが必要だが、到達したフォームは認証を要求した。エージェントはログでそう述べている——「これらのフォームは認証が有効だ。他の標的を確認しよう」——さらに50以上の中華系標的をスキャンし、公開アクセス可能なフォームを見つけられず、停止した。復元されたセッションはそこで終わる。Unit 42は、自律型トラックからの悪用をまったく記録していない。

実際に害が及んだのはどこだったのか

記録内で確認されたすべての影響は、手動トラックによるもので、従来のワークフロー（FOFA列挙、独自のPythonスキャナー、直接エクスプロイト）で実行されました。

• Citrix NetScaler ADC and GatewayにおけるCVE-2026-3055、CVSS 9.8 — 3つの組織からデータが窃取された。Unit 42によると、この3件の成功事例では境界外読み取りを通じてメモリ上のデータが外部に引き出され、その後、攻撃者は窃取した内容の中からNetScalerの認証Cookie（NSC_AAAC=）を検索した。これは、窃取それ自体を目的とするのではなく、セッションハイジャックを狙ったものだと同社は指摘している。

• マレーシアの政府機関 — 数日間にわたり執拗に標的化され、悪用された。Unit 42 が「メモリグルーミングパラメータ」と呼ぶ設定と最大読み取り試行回数が用いられ、その後の訪問ではプロキシによる匿名化も追加された。報告書が、単なる機会主義を超えた意図を示すものとみなしている唯一の標的である。

• Marimoノートブック、CVE-2026-39987、CVSS 9.8 — 11件のインスタンスでコマンド実行を確認。

• Apache Tomcat、CVE-2026-34486、CVSS 7.5 — 9台のサーバーに対するリバースシェル攻撃の試み。

• Windows IKE VPN、CVE-2026-33824、CVSS 9.8 — 3つのエンドポイントを標的としたリバースシェルコールバック。

• PAN-OS User-ID Authentication Portal、CVE-2026-0300、CVSS 9.8 — 公開された研究用の概念実証（PoC）がクローンされ、実行されることはなかった。Unit 42 は、そのコードが機能せず、実行を実現できないプレースホルダー値を含んでいると判明した。

2つの制約が重要だ。被害者の名前は明かされておらず、そのため3者の{{1}}NetScaler運用者{{/1}}と{{2}}マレーシアの機関{{/2}}の身元は公開されていない。またUnit 42は、攻撃者が分析前に削除したファイルに現れた、未知の数のホストに対する一括悪用の証拠を精査したと述べている——これにより確認済みの件数は総数ではなく下限となる。

何が確立され、何が主張されているのか

この種のインシデントにしては、手口の裏付けが異例にしっかりしている。Unit 42は攻撃者自身の設定ファイル、セッションログ、ターゲットリスト、bash履歴を読んでおり、CVEの一覧、ターゲット数、失敗モードは、ネットワークトラフィックに関する推測ではなく、その資料から導かれている。

主体の特定はより弱い。「中国語話者」「珠海を拠点とする」、およびハンドルknaitheとKnYuanは、GitHubの活動、古い個人ブログ、1DayNewsパイプラインに基づくアナリストの評価である。起訴、制裁、政府声明はいずれも付随しておらず、引用されたどちらの報告書も被害組織を名指ししていない。

執行措置に関する主張の1つは、報告書自体の中で伝聞に基づくものです。Unit 42は、OpenAIのスタッフが、同社のプロバイダー側の安全対策がポリシーに違反するリクエストを拒否したことを確認し、継続的な試行によって同社の安全システムが、このキャンペーンに関連すると同社が考えるアカウントにフラグを付け、無効化したと伝えています。それは、Unit 42が同社に自らのインテリジェンスを共有する前のことでした。これはベンダーが自らの執行措置について説明したものであり、Unit 42はそれを独自に検証していません。

一点、明確に述べておくべき空白がある。2026年10月30日時点で、本記事のための調査では、このキャンペーンに関するマレーシア政府、MyCERT、その他の各国CERTによる声明は見つからなかった。この記録で2番目に引用されている情報源であるHunt.ioは、2026年7月6日に影響を受けた組織と関連する各国CERTに通知し、7日間の開示期間のため公表を控えたと述べている。しかし、通知は公開された説明ではない。

引用された2つの報告書は、Claude Code について一致していません。

この記録は、2週間の間隔で公表された2件のベンダー調査を引用しており、それらは異なるツールの分担状況を説明している。7月30日に執筆したUnit 42は、実行をHermes Agentに割り当て、推論エンジンとしてDeepSeekを用い、Claude Codeを試験的利用として扱っている。復元された履歴は3つのセッションにまたがる10件のエントリで、/modelの確認、接続性テスト、および1件のnpm install要求を含み、接続性テストとプロキシ検証に使用されていた。Codexはエクスプロイト開発用ディレクトリでの使用痕跡があるが、そのチャットログは保存されていなかった。Qwen Codeには2つのセッションがあった。Unit 42はこの広がりを、AI市場を渡り歩くオペレーターが、Western系ツールをcode.newcli[.]comのプロキシ経由でルーティングしつつ、DeepSeekとQwenをそれぞれのネイティブAPIエンドポイント経由で直接呼び出していたものと解釈している。

Hunt.ioは7月14日、112.213.124[.]132のポート8888で発見したオープンディレクトリから公開した内容で、正反対の構成を説明している。実行エンジンとしてのClaude Code 2.1.165が2026年6月8日から12日にかけての永続セッションを通じて稼働し、その下でDeepSeek-v4-proが推論を担い、復元されたCLAUDE.mdファイルがClaude Codeに対し、クローン化されたフィッシングページを作成し、テストし、反復するよう指示していた。

両報告はいずれも、エージェントフレームワークがポート8888でディレクトリを公開したまま稼働していたと述べている。両報告が示す被害者の集合は異なる。Hunt.io が確認した侵入はアフガニスタン、タイ、台湾で、米国の政府機関2件に対してフィッシングが仕掛けられていた。Unit 42 が確認した被害者は、名称非公開の Citrix 運用者3者とマレーシアの政府機関1者で、自律的探査は主に中国国内のインフラに向けられていた。どちらの報告も他方を相互参照しておらず、アーカイブも、どちらのベンダーも、両者を突き合わせた見解を公表していない。両者を合わせて読むと、二つではなく一つの結論が支持される。すなわち、2026年6月と7月に、この運用者の環境内でLLM駆動の侵入活動が進行していた。スタック内でどのモデルがどこに位置していたのか、また両報告が単一の運用者について述べているのか2つの運用者について述べているのかは、公表された記録では確定していない。

その後、何が変わりましたか

この暴露によって証拠が得られたため、最も具体的な変化は被害者ではなく攻撃主体に関するものである。Unit 42は調査結果をCyber Threat Allianceのメンバーと共有したと述べており、同社のページには公開から12日後の2026年8月11日更新という表示がある。Palo Altoの顧客向けには、露出したLangflow、n8n、Citrix ADCアプライアンス向けのCortex Xpanse攻撃対象領域ルールに加え、一連のThreat Preventionシグネチャを記載している。

脆弱な製品では、修正はキャンペーンより前に行われていた。n8nは、復元されたセッションより前に、2つの脆弱性に対応する1.120.4と1.121.0をリリースしており、エージェントはアドバイザリからそれらのバージョン境界を自ら読み取った。CSAの8月4日の注意喚起は、CVE-2026-3055にさらされたNetScaler運用者に対し、NSC_AAACセッション認証Cookieをローテーションし、認証済みセッションに異常がないか確認するよう推奨している。攻撃者が明示的にそのCookieを狙っていたためである。また、Marimoの脆弱性への露出が疑われる者は、コマンド実行がすでに発生した可能性を前提とすべきだとしている。

CISAの既知の悪用された脆弱性カタログを2026年10月30日に直接閲覧すると、この資料が報告される前にどれほど公になっていたかがわかる。CVE-2025-68613は2026年3月11日に追加され、CVE-2026-33017は3月25日、CVE-2026-3055は3月30日、CVE-2026-39987は4月23日、CVE-2026-0300は5月6日に追加された——いずれもUnit 42の公開より前である。CVE-2026-34486は8月4日、CVE-2026-33824は8月18日に続いた。失敗した自律型チェーンにおけるn8nのファイル読み取り部分であるCVE-2026-21858は、同カタログにはまったく掲載されていない。

なぜマージンが発見事項なのか

Unit 42の結論は、このキャンペーンが成功したということではなく、あと一歩で成功するところだったというものだ。悪用は標的側の設定、すなわち auto_login の不在と認証付きフォームによって阻止され、報告書は「デフォルト設定がより弱い標的であれば影響を受けやすかっただろう」と述べている。総合的な判断は、自律型の攻撃サイクルは運用上実行可能であり、失敗までの余地はわずかだったというものだ。

CSAの独立した解釈は、別の角度から同じ非対称性を指し示している。自律的な偵察とトリアージは、自律的なエクスプロイトよりもはるかに容易に拡張され、確認された武器化可能な成果は、エージェントの偵察の上に重ねられた人間主導の作業に依存していた。どちらの解釈も、単一のオペレーターによるキャンペーンを対象としている。記録には、自律ループがこれまでに単独でシステムを侵害したという主張は含まれていない。