GTIG AI脅威トラッカー：プロンプトから6時間で数千件の認証情報へ

Google Threat Intelligence GroupはAI Threat Trackerの2026年第2四半期版を2026年9月8日に公開した。その報告書の中心となる事例は、簡潔に述べられるほど短い。金銭的動機を持つとみられる行為者が被害者に属するクラウドリソースを取得し、プロンプトと事前に作成された一連のエージェント指示をAIコーディングチャットボットに入力し、数千件のサードパーティ認証情報を6時間足らずで収集していた。しかもエージェントは脆弱性スキャン、トラブルシューティング、IPローテーションを自ら管理していた。同じ報告書は、PyPI上のトロイの木馬化されたMCPサーバー、ビルドシステム自身のアイデンティティを窃取することでバックドア入りパッケージが有効な暗号署名付きSLSA Build 3アテステーションを伴って届くようにする認証情報窃取ツール、そしてLLMベースのセキュリティスキャナーがその下にあるコードを読むことを拒否するように仕向ける敵対的テキストについて述べている。これらはすべて、Google自身のテレメトリに関する説明である。 この報告書は、信頼度評価と引用元とともに、AIインシデントアーカイブに収録されている。同アーカイブには、このシリーズで文書化された他のすべてのインシデントも併せて収められている。

実質的な主張はどれも、Googleの発表をそのまま繰り返すだけではない第三者によって検証されたものではない。Help Net Securityは公開当日にこのトラッカーを報じ、Cloud Security Allianceは翌日にリサーチノートを公開し、Lineajeは9月17日にDUSTMAKER分析を公開した。いずれもGoogleの開示の要約か、Googleの開示に分析を上乗せしたものであり、Lineaje自身もそう述べていて、GTIGは「単一の観測されたエンドツーエンドの実行トレースではなく、関連するいくつかのDUSTMAKER機能を説明している」と指摘している。この記録と併せて引用されている2つ目の情報源、2026年9月11日付のthreatops.techの「threat pulse」項目は、第二の証人ではなく再掲であり、新たな報道を加えず、どの数値にも異議を唱えず、何を基準に測定しているのかを説明しないまま深刻度ラベルを引き上げている。報道は版の名称についてさえ完全には一致していない。Help Net Securityはこれを2026年第3四半期のトラッカーと呼ぶ一方、その主要事例は2026年第2四半期だとしている。これは番号付けの違いであり、事実上の矛盾ではない。

アーカイブでは、これはインシデントではなく報告書として分類されている。信頼度はグレードAで、異議はなく、定量的な実害の数値は記録されていない。この評価は文書の品質を表すものであって、被害の規模を表すものではない。Googleが数えているのは認証情報であり、被害者ではない。トラッカーには、6時間にわたる攻撃キャンペーンで何組織が巻き込まれたのか、それらが誰だったのか、どのチャットボットが使われたのか、盗まれた認証情報が後に販売または使用されたのかどうかは示されていない。

GTIGが説明する6時間と、エージェントが単独で行った3つの作業

報告書に記された攻撃の流れは、アクセスから結果に至るまで、その間の人間の関与がごくわずかである。攻撃者はクラウドリソースを侵害し、その後、市販のAIコーディングチャットボットと、GTIGが「プロンプト」および「一連のエージェント指示」と呼ぶもの——現在リポジトリ内にAGENTS.mdファイルとして存在するマークダウン形式のプレイブック——を組み合わせ、作戦の計画、構築、実行を行った。Google自身はこの結果を「エージェントを活用した大規模な認証情報収集キャンペーン」と位置づけ、「6時間足らずで」完了したとしている。

3つのタスクは自律的と説明されており、それらは本来ならオペレーターの注意を引いたであろう3つのタスクです。

• 脆弱性スキャンのパイプライン。エージェントへの指示によってAIが「自律的に管理」できるようになっているもので、Help Net SecurityがGTIGから引用した表現を借りればこうなる。

• スキャンで見つかった問題をリアルタイムでトラブルシューティングし、障害が判断待ちで実行を停滞させないようにする。

• IPローテーションにより、誰もコマンドを発行していなくても、連続する試行は異なるアドレスから送信されました。

作戦がどこで実行されたかは、どれほど速く実行されたかと同じくらい重要だ。攻撃者は被害者自身のクラウドインフラストラクチャを足場にして活動することで、被害者の正規のIP範囲を通じてトラフィックを流した。組織内部から来たように見えるリクエストこそ、レピュテーションベースの防御が最も疑いを挟みにくい対象であり、報告書はこれを被害者自身の環境から活動したことによる結果として記録している。

報告書に含まれていないことは、含まれていることと同じくらい雄弁だ。各ステップの所要時間は示されておらず、「6時間未満」は実行全体に対する単一の計測値であって、グラフに分解できるものではない。行為者については「金銭的動機が疑われる」以上の名称もなく、被害者もなく、どのモデルまたはベンダーのチャットボットが関与したのかの記述もない。このトラッカーはこの事例をトレンドの具体例として扱っており、インシデント対応担当者が求める視点ではなく、その目的に適した視点で書かれている。

露出していたサーバーが、23,800件のシークレットを集約するダッシュボードへと成長した

同じセクションの2つ目の発見はより具体的で、別個の事例です。GTIGは、同社がReconと呼ぶ自動偵察・認証情報管理フレームワークをホストしている、露出したコマンドアンドコントロールサーバーを発見しました。ディレクトリリスティングは読み取り可能な状態で、設計を明かしていました: AGENTS.md、KNOWLEDGE.md、agentic_vuln_research.md、さらにモジュール式の.openclaw/ディレクトリとmemory/ディレクトリです。これらのファイル名は、特注のインプラントではなくエージェントスタックの指紋です — 指示、蓄積された知識、調査計画がすべて、オペレーターのツールが読み取れるディスク上に存在しています。

同じディレクトリは、後に、以下を整理・検証するライブのフロントエンドダッシュボードとして機能していた：23,800件を超える収集済みシークレット。これにはクラウドおよびAIサービスのAPIキーが含まれる。GTIGは、それが表す変化を「受動的でエンドポイント中心のインフォスティーラーから、攻撃的なエージェント型収集への移行」、すなわち、1台のラップトップから取得できるものを奪うマルウェアから、すでに到達した標的に働き続けるツール群への移行と特徴づけている。

その数字には二つの注意点があります。2万3800は秘密情報の件数であり、人や企業の数ではありません。報告書は一方を他方に換算していません。また、GTIGはReconサーバーと6時間のキャンペーンが同一の作戦かどうかを述べていません。それらは同じ節で別個の観察として示されているため、一つの筋書きとして扱うのは、報告書が行っていない推論になります。

DUSTMAKERと、パッケージが正規品であることを正しく示す証明

トラッカーのサプライチェーンに関する部分が扱うのはUNC6780であり、GoogleではTeamPCPとしても追跡されている。金銭的動機を持つこのグループは、2026年3月以降、PyPI、npm、Docker Hubにわたりオープンソースインフラを侵害してきた。AIツールに対する同グループの手法は直接的だ。侵害された開発者アカウントを使って、正規のMCPサーバーのトロイの木馬化されたフォークを公開した。tiktoken_mcpはPyPIで例として挙げられており、さらに悪意あるコードが公式の組織リポジトリに注入された。その例にはazure-functions-mcp-extension。GTIGは、ペイロードと悪意あるワークスペースフックが、これらのアセットのダウンロードまたはクローン時に自動的に取り込まれたと指摘している — 別個の誘導も、第二のステップもなかった。

その認証情報窃取ツール、DUSTMAKERに、この報告書で最も有用な技術的ポイントがある。連鎖は短い。この窃取ツールは、自身がCI/CD環境で実行されていることを検出する。GTIGは、「確認されれば」、GitHub ActionsランナーのプロセスメモリからOIDCトークンを抽出すると記している。それらのトークンを使って自身を信頼されたパブリッシャーとして認可する。その後、侵害されたパッケージバージョンを公開する。それらは有効で暗号学的に署名されたSLSA Build 3アテステーションを伴う。この連鎖のどこにも偽造はない。アテステーションは本物で、実在のアイデンティティに発行され、実際に起きたビルド、つまり攻撃者が書いたコードのビルドに対するものだ。来歴に依存するすべての人にとって重要なのは、GTIGの次の結論の一文である。「有効なトークンで公開されたパッケージは、AIコーディングエージェントの自動信頼チェックを通過する。」

DUSTMAKERの残りの挙動は、防御側が監視していない場所を狙っています。AIコーディングアシスタントやIDEのワークスペースディレクトリ内でファイルをドロップしたり改変したりします — .claude/、.vscode/、.cursor/ — ここでは開発者のノイズに紛れ込み、Windowsレジストリキーや /etc/cron.* など、エンドポイント検出が実際に監視している場所を避けます。ワークスペースを開いたときにIDEやAI拡張機能が setup.mjs のようなスクリプトを実行するよう設定を書き込むため、フォルダを開くことがコード実行につながります。「Copilot Setup」 のようなAIをテーマにした名前でパイプラインタスクを作成してトークンを探し、ワークフロー実行ログを削除するAPI呼び出しを発行して、実行がGitHubインターフェースに表示されないようにします。

スキャナーに目をそらさせるマルウェア

最後のメカニズムは3つの中で最も検証が進んでいない。DUSTMAKERのJavaScriptローダースクリプトは、コメントとして埋め込まれた敵対的プロンプトテキストで始まっており、具体的には_index.jsを含む複数のファイルで、生物兵器や核兵器に言及し、20キロトンの爆縮型核分裂装置の仕様を求める記述も含んでいる。GTIGの評価は、これが「安全性またはポリシー上の拒否により、LLMセキュリティスキャナーがその下にある悪意のあるJavaScriptコードの分析を失敗させたりスキップしたりすることを意図していた可能性が高い」というものだ。

その文に付されたラベルは重要だ。それは、ローダーが内包するテキストから推測された意図に関する記述であって、何らかのスキャナーが実際に拒否したことを示すものではない。報告書は、ファイルをスキップしたスキャナーを名指ししておらず、バイパス率を報告してもおらず、その手法が成功したとも述べていない。確立しているのは、誰かが餌（ベイト）を書き、それを認証情報窃取ツールの中に同梱して出荷したということであり、これ自体が、攻撃者がLLMベースのトリアージを処理経路に含めていると想定している証拠である。

UNC6508、MIDNIGHT NEPTUNE、CALANQUE IONは同じレポートに記載されています

このトラッカーにおける国家関連の資料は犯罪関連の資料より広範であり、大半は自動化の度合いが低い。UNC6508は中国とつながりのあるグループで、北米の学術・医療・軍事研究に対して複数年にわたるスパイ活動を展開しており、現在は特に独自のAI研究を標的にしている。GTIGは、同グループがクラウド環境に侵害を加えることでローカルのオープンウェイトモデルを展開していると疑っており、これは商用APIの監視を回避しつつ、被害者自身の計算資源を利用するものである。

他の事例では、既製モデルが通常業務を大規模にこなすというパターンだ。北朝鮮のMIDNIGHT NEPTUNE（旧UNC1069）は、DeepSeek-Coderを使ってクロスプラットフォームの永続化とプロセスインジェクションを備えたPython製リモートアクセス型トロイの木馬を作成し、Bashの横展開スクリプトにLLMを使用し、ソーシャルエンジニアリング用のペルソナや技術的ルアーを運用し、内部リポジトリ設定を汚染し、Claude CLIのフックを改変し、開発者がリポジトリを操作した際にSOMBERMEMEバックドアを展開した。イランのCALANQUE ION（旧APT42）は、モデルを使って標的のメールアドレスを特定し、OSINTを実行し、ルアーをローカライズし、窃取データを要約し、ライセンスコードのリバースエンジニアリングを試みた。中国系のBASIN CASTLEは、標的プロファイリング、中国語資料を正式な英語の政治報告書に翻訳すること、PowerShellのトラブルシューティングにGeminiを使用した。RAVINE CASTLEはそれを使ってVMware vCenterのSAMLバイパスとActive Directoryのポストエクスプロイテーションを調査した。ロシアのSANDWORM RELICは、Geminiにパスワードスプレー用コードを書かせた。金銭的動機を持つUNC6240（ShinyHuntersとしても追跡）は、Claude Codeのプロンプトを使って難読化コードを書き、Cloudflareをバイパスし、カスタムMCPツールを通じて窃取したディレクトリを解析した。

このセクションの1つの事例は、他の事例よりも一歩踏み込んでいる。中国と関連のあるグループがGeminiを使い、標的の状態を観察し、次に何をすべきかを推論し、ポートスキャンとサービス解析を実行することを目的とした動的な自動ペネトレーションテストフレームワークを設計した。Googleは、特定したキャンペーンに対してより広範な措置を講じ、関連する資産、プロジェクト、アカウントを無効化したと述べている。別途、2026年6月にGoogleが妨害したのは「Outsider Enterprise」、フィッシングキットを供給していた中国拠点のサイバー犯罪サービスであり、同社はこれをGeminiの悪用をめぐる法的措置に踏み切った初の事例だと説明した。

LLMJacking、そして盗まれたAIアカウントに今いくらの値がつくのか

このトラッカーはまた、盗まれたAIアクセスをめぐる市場の価格も算出している。地下市場の需要は、ClaudeとGeminiの認証情報、ならびに自律型コーディングIDEに集中していた：Cursor ProとDevin。後者はCognition製で、アカウント1件あたりの市場平均価格は2026年中に2倍以上となった。収集を行っているインフォスティーラー — LUMMAC.V2、STEALC.V2、VIDAR、ACRSTEALER — は、AI開発者向け設定を標的とするよう更新された。2026年5月、ACRSTEALERの運営者らは、次のファイル取得ルールを配信した：Clineのsecrets.jsonとContinue AIのconfig.yaml。これらはいずれも平文のAPIキーやカスタムのモデルルーティングエンドポイントを保持できる。

GTIGが説明するある侵害事例は、AIアカウントが一度奪われた際にどれほどの価値を持つかを示している。2026年4月、露出していたGitHubのパーソナルアクセストークン1つで、Gemini Enterpriseを有効化し、高性能コンピューティングをプロビジョニングし、LiteLLM APIのデプロイメントおよびManusエージェントフレームワーク用のDockerリポジトリを作成し、IAMの呼び出し元バインディングを通じてallUsersに公開されるCloud Runサービスを立ち上げるのに十分だった。同じセッションで、Editor権限を持つ不正なサービスアカウントを作成してそのキーをエクスポートし、環境変数や認証情報を求めてBigQueryにクエリを実行し、プロジェクトの所有権を外部アドレスに譲渡しようと試み、さらにCloud Quotas APIを使ってNVIDIA RTX 6000の容量と追加の48 vCPUインスタンスを要求した。

モデル抽出の構図は、規模が大きくなっただけで同じ経済原理です。GTIGによると、蒸留キャンペーンは今や日常的に行われ、「1億件を超えるプロンプトを含むものもある」といい、クエリは数千の侵害されたアカウントや不正アカウントにわたってローテーションされ、プロキシ基盤を通じてルーティングされています。またGoogleは、生徒モデルの性能を低下させ得る対抗措置と、来歴によってGeminiから蒸留されたモデルを特定する手法を導入したということです。

何が確認済みで、何が評価であり、GTIGがまだ見ていないと述べていることは何か

確立されている。少なくとも、Google が自社のファーストパーティ・テレメトリと自社のアカウント操作について述べているという意味では。つまり、報告書とその日付、Google が観測したと述べているアーティファクト（パッケージ名、ローダーのファイル名、ディレクトリ名、23,800 件のシークレットを含むダッシュボードなど）、および Google が取ったと述べている妨害措置であり、後者については Google が証明できる。アカウントの無効化は推測するものではなく実際に行うことだからだ。Help Net Security、Cloud Security Alliance、Lineaje はいずれもこれらの項目を矛盾なく報じているが、いずれも自ら独立した証拠を提示しているわけではない。

評価、つまりGoogleが下している判断という意味での評価：報告書におけるあらゆる国家主体の帰属認定；拒否を誘う仕掛けを意図的なものと解釈する見方；そして、盗まれたトークンが「AIコーディングエージェントの自動信頼チェック」を通過するという主張——これは、特定の製品がそうしたチェックに失敗したことの測定というよりも、それらのチェックが一般にどのように構築されているかについての陈述である。

未確定：6時間にわたり活動した主体の正体、被害者とその人数、関与したチャットボットとモデル、そしてReconサーバーがそもそも当該キャンペーンに接続されているかどうか。

そして、報告書自身が示す上限はそのタイトルが示唆するより低い。GTIGは、完全に自律的な悪用パイプラインを実環境でまだ観測していないと述べ、敵対者による利用は「このユースケースへと進化しつつある可能性がある」と評価している。分断は攻撃の周囲ではなく攻撃の内部にある。人間が目的、プロンプト、指示ファイルを供給し、エージェントがスキャン、トラブルシューティング、ローテーションを供給し、許可を求めて停止することはない。注意深く読めば、6時間のキャンペーンは自律性が到来した証拠ではない。それは、作業のうち人間が担う部分が、人間を必要とする部分——何をするかを決めること——にまで縮小し、決定から結果までの間のすべてが自ら動いていたことの証拠である。

Googleが変更したと述べている内容と、レポートが実際に指し示しているコントロール

Googleが示した対応は2つの方向で進んでいる。悪用については、活動が「Geminiの安全応答を引き起こした」とし、行為者の運用セキュリティ上の失敗を根拠にキャンペーンに対して「追加的かつより広範な措置」を講じ、関連する資産、プロジェクト、アカウントを無効化し、Google DeepMindがその調査結果を活用して分類器とモデル自体を強化し、こうした要求を拒否するようにした、としている。防御面では、Google AI Threat Defenseを導入した。これはGeminiとフロンティアモデルを、Wizのリスク優先順位付け、GeminiとCodeMenderによる修復、Mandiantのインテリジェンスと組み合わせ、継続的スキャンにはより軽量なモデルを、高リスクの検出結果にはフロンティアモデルを用いる。また、脆弱性検出と自動パッチ適用のためにGemini 3.8 Flash Cyberを導入し、オープンソースのサプライチェーン強化ガイダンスを公開した。

DUSTMAKER 事例が求める具体的な修正は、その一連の対策よりも狭い範囲にとどまり、外部の分析もその点で一致している。SLSA のアテステーションは、パッケージが名乗る ID によってビルドされたかどうかに答える。だが、その ID が、信頼しようとしていた当事者に今も属しているかには答えない。そして DUSTMAKER の手法全体は、ID を偽造するのではなく借用することにある。この根本的な変化についての Lineaje の要約が、それを最も簡潔に言い表している。「リポジトリのコンテンツが実行権限となる」。パッケージ名、MCP サーバー名、アテステーションバッジ、リポジトリ内の指示ファイルはすべて、今や従うべきという何らかの主張を伴って現れ、盗まれた OIDC トークンがその主張を検証済みに見せている。