Mandiant 2026 AIレポート：暴走したエージェントによる5万ドルの請求書とAI支援型の侵入

MandiantのAI Risk and Resilience 2026レポートは、2026年9月にGoogle Cloud上で公開され、同じ週にHelp Net Security、The Hacker News、SecurityBriefで取り上げられたもので、AIが標的ではなく仕組みとして使われた3件のエンゲージメントを説明している。それは、乗っ取られたAIコーディングアシスタントのセッションがShai-Huludワームを名前非公表のSaaSプロバイダーの約100の社内リポジトリ全体に拡散させた事例、侵害されたCI/CD認証情報を侵入者が医療企業内のAI支援による攻撃ハブに変え、数千件の認証情報を窃取した事例、そして破損したnull値がツールの1つを壊した後、会計エージェントが1時間足らずで約$50,000のクラウド料金を発生させ、請求データベースをロックして稼働中のトランザクションを停止させた事例である。3件目には攻撃者は関与していない。本記事の基になっている記録と、その周辺に登録された項目はAIインシデントアーカイブにあり、各項目固有の情報源、重大度、信頼度グレード、異議フラグを備えている。

これはどのような種類の文書ですか

このレポートはGoogle Cloudのセキュリティリソースページで「2026年のAIリスクとレジリエンス：Mandiant特別レポート」と題されており、侵害の開示ではなくベンダーによる刊行物である。その事例研究は、Mandiantのインシデント対応支援とOffensive Securityチームによる評価から成り、組織は業種によってのみ特定されている。すなわち、SaaSプロバイダー、グローバルな医療機関、世界的な企業向け金融サービスプロバイダーである。被害者の名前はなく、侵入の日付もなく、3件のいずれにも被害者の声明は添えられていない。

そのことは、これらの数値をどう読むべきかを左右する。そこに含まれるすべての数値は、Mandiant自身の調査員に由来する。Cloud Security Allianceの9月16日付Frontier Readyノートは、約5万ドルの請求と15,000件の通話量を「自己申告（プロバイダー指標）」と表現し、それらは「独立した検証を受けていない」と述べている——これは報告書全体についても当てはまる適切な説明であり、同報告書は照合すべき第三者のテレメトリを一切公開していない。アーカイブはこの項目を情報記録として、記録された被害を伴うインシデントではなく報告書として分類し、係争中として注記することなく信頼度Aと評価している。この評価が示すのは報告書がどれだけよく文書化されているかであり、外部の当事者がその内容を確認したかどうかではない。

報告書自身の位置づけは、攻撃者が2026年に、調査目的でチャットボットに質問する段階から、エージェント型システムに侵入の一部を実行させる段階へ移行したというものである。Mandiantによると、Google Threat Intelligence Group（GTIG）は、偵察と認証情報収集のためにHexstrikeやStrixを含む自律型ツールを配備し、商用AIプラットフォームのガードレールや請求上限を回避するためにプロキシリレーや自動登録パイプラインを構築するアクターを観測している。報告書は、VirusTotalが文書化した2月のOpenClawエージェントスキルの武器化、MandiantがUNC6780として追跡し、他がTeamPCPとして追跡するアクターに帰属する3月のサプライチェーン侵害、そしてGTIGが、サイバー犯罪者がAIによって開発されたゼロデイエクスプロイトを利用した最初の公に確認された事例と説明した5月の開示を挙げている。これは人気のオープンソース管理ツールにおける二要素認証を回避したものだった。

ケース1：アシスタントはそのパッケージを推奨しました

最初の事例では、攻撃者がSaaSプロバイダーを侵害し、その後、開発者のワークステーション上でアクティブなAIコーディングアシスタントのセッションを乗っ取りました。Mandiantはこのアシスタントを「環境内で信頼されたインタープリターとして動作していた」と表現しています。アシスタントは、攻撃者がすでに汚染していた外部ソフトウェアパッケージのインストールを推奨し、開発者はその推奨を受け入れました。報告書は、アシスタントが「意図せずトロイの木馬として機能した」と述べています。

ライブセッションにおいて、攻撃者は汚染されたPyPIパッケージを通じてインフォスティーラーをインストールし、開発者のGitHub OAuthトークンを窃取した。自己増殖型のShai-Huludワームはその後、約100の内部コードリポジトリを横断し、リポジトリのシークレットの窃取と、独自製品のソースコードのプログラムによる外部送信を自動化した。攻撃者はまた、組織の公式名前空間内のパッケージを汚染し、2人目の従業員が侵害されたバージョンを取得した。これは二次感染であり、Mandiantの説明によれば、侵入者によるさらなる行動を必要としなかった。

報告書が明らかにしていないのは、こうした出来事がいつ起きたのか、そもそも攻撃者がどのようにしてアシスタントセッションの制御を奪ったのかという点だ。The Hacker Newsは9月16日にこのケーススタディを報じ、その双方の欠落を指摘している。Cloud Security Allianceは9月18日の調査ノートで、この事例の初期アクセス経路を「ケーススタディにおける最も重大な未解決問題」と呼び、Mandiantが推奨する対策は感染がどこまで広がり得るかに対処するものであり、セッションがどのように奪われたかには対処していないと述べている。

この件に対するMandiantの対策は3つあり、失敗点について具体的だ。IDEとCLIの検証フックを強制し、AIが推奨するすべてのサードパーティ依存関係を暗号学的チェックサムと承認済み許可リストに対して確認する。生のAPIキー、長期間有効なOAuthトークンその他のシークレットを拡張機能から到達不能に保つ。ワークステーションのネットワーク外向き通信を制限し、依存関係のトラフィックが管理された内部リポジトリのみを経由するようにする。

ケース2: CI/CDの認証情報がAI共同デバッグハブと化した事例

第2の事例は、グローバルな医療機関におけるエンタープライズクラウド調査です。Mandiantは異常な活動を、侵害された長期間有効な開発者用CI/CD認証情報に突き止めました。侵入者はこれを使って分離されていないVMインスタンスを起動し、稼働中の攻撃拠点に変えました。攻撃者はツールをオフラインで構築するのではなく、大規模言語モデルを稼働中のサーバーに直接組み込み、その場でそれらに対して反復的に試行しました。

Mandiantは3段階のワークフローを説明している。最初はコンテキストの事前設定だ。リモートセッションを通じて同期されたコードパッケージとプロジェクトのREADMEファイルをモデルのチャットコンテキストに読み込み、後のコード生成をキャンペーンの目的に導いた。次にインタラクティブなデバッグだ。攻撃者はモデルに複数ワーカーのデータ収集フレームワークを構築させ、スクリプト分割に関する論理エラーを一緒に解決し、窃取の頻度を3時間周期に引き上げた。最後に回避と悪用だ。モデルはブロックリストに載ったサーバーアドレスをオンザフライで切り替える動的IPローテーションスクリプトを書き、被害者アカウントへのログインや金融残高の確認を行うRustベースのツールを共同開発した。

Mandiantは、このキャンペーンが数千件の認証情報を侵害し、収集したAPIキーと財務上の秘密を攻撃者が管理するリポジトリへ持ち出したと述べている。報告書は、Rustツールがどのアカウントを対象にしていたのか、それが確認した財務残高が何に属していたのか、その後認証情報がどうなったのかについては述べていない。このケーススタディのどこにも患者データには言及されていない。

推奨される管理策は、モデルではなく認証情報に沿って実施します。長期間有効なアクセスキーを、OIDC を使用した短期間の Workload Identity Federation 信頼関係に置き換える。VPC Service Controls で外向き通信を制限し、ランタイム環境と開発環境が未承認の外部モデルプロバイダーに到達できないようにする。ワークスペース全体で継続的なシークレットスキャンを実行する。さらに、Model Armor のようなランタイムプロンプトファイアウォールを経路上に配置し、ハードコードされた認証情報をインターセプトし、実行中の攻撃用ユーティリティスクリプトをブロックします。

ケース3：1時間足らずで5万ドルを使い果たしたエージェント

3つ目の事例には敵対者が関与していなかった。世界的な企業向け金融サービスプロバイダーは、会計元帳の異常を照合するためにエージェントを導入し、社内の請求データベースへの読み取りおよび書き込みアクセス権を付与した。破損したnull値がエージェントのフォーマットツールを壊すと、エージェントは、Mandiantが「制約のない再帰的推論ループ」と呼ぶものに入り、修正を強引に導き出そうとした。

1時間足らずで、それは15,000件を超える高頻度・高コストの推論API呼び出しを発行し、約5万ドルの突然のクラウド請求急増を引き起こした。同じループが深刻なローカルデータベースのロックを発生させ、進行中の業務トランザクションを停止させた。Mandiantはこの事例を「denial-of-wallet」に分類しており、同社が示す修正策はモデルレベルではなく運用面のものだ。すなわち、支出上限、再帰の上限設定、そして同じタスクで失敗し続けるエージェントを停止するためのサーキットブレーカーである。

報告書には、その請求が支払われたのか、クレジット処理されたのか、それとも異議申し立てがなされたのか、取引がどれほど長く停止されたのか、顧客に影響があったのか、その後企業が何を変更したのかは記されていない。日付も示されていない。SecurityWeekの9月18日のまとめでは、これを従来型の侵入ではなく、報告書が新たな財務リスク区分として指摘するものに分類している。

Mandiantが提案する制御は、それに対応して財務的なものだ。すなわち、エージェントに対するIDおよびロールベースのアクセス定義、ガバナンスとしてのコスト上限のしきい値と監視、さらに、設定された回数の連続したタスク失敗後にエージェントを停止させる自動の財務的サーキットブレーカーである。サービスおよびプロジェクトのレベルでは、ハードな財務上限、有界の再帰制限、レート制限を推奨しており、自己修正ループが停止に発展する前に抑制されるようにしている。

何が確定しており、何が出典に帰されており、何が開示されていないのか

確立済み。 Mandiantはこのレポートを公開し、その内容は上記で要約したとおりです。4社の業界専門メディアが互いに3日以内に相次いで取り上げました — Help Net SecurityとThe Hacker Newsが9月16日、SecurityBrief UKが9月17日、SecurityWeekが9月18日 — そして各記事の記述は、報じているすべての数値においてレポートと一致しています。Cloud Security Allianceは9月18日に最初の事例について別個の調査ノートを公開し、その仕組みについて同じ解釈に達し、Mandiantが省いた点についても同じ結論を示しました。

帰属が主張されており、独立した検証は受けていない。 具体的な数字はMandiantによるものだ。約100のリポジトリ、数千件の認証情報、3時間の外部流出サイクル、15,000回超の推論呼び出し、約5万ドル、1時間未満。3人の被害者について、テレメトリを公開した報道機関は一つもなく、また、3人のうち誰の名前も、誰によっても公表されていない。存在する裏付けは、出来事そのものではなく、報告書の内容に対する裏付けである。読者がここで依拠できるのは、この区別だけであり、アーカイブの信頼度グレードも、その前提で読むべきである。

開示されていません。 この報告書には、3件の業務のいずれについても日付が示されておらず、被害者の氏名もなく、ケース1のアシスタントセッションがどのように乗っ取られたかについての説明もありません。収集されたGitHub OAuthトークンとリポジトリシークレットが失効されたかどうか、ケース2の数千件の認証情報が使用されたかリセットされたか、医療機関のデータ主体が影響を受けたかどうか、会計エージェントの請求額が回収されたかどうか、また3組織のいずれかがその後何を変更したかについても述べていません。本記事は、これらの不足を埋める、9月16日以降に公開された被害者声明、規制当局の通知、追跡報道を発見できませんでした。

報道が分かれる点。 Cloud Security Allianceの注記は、ケース1における2件目の感染を、同社自身のnpm名前空間を通じて広がったものと説明している。Mandiantの文面は「組織の公式名前空間内のパッケージ」とのみ述べており、そこではエコシステムを特定していない。npmと読むのは付加であり、引用ではない。これとは別に、The Hacker Newsは、今回のワームが、コーディングアシスタント向けのフックを仕込んだ8月のnpmワームや、認証情報を求めて469か所をスキャンしているのが見つかったShai-Hulud変種に、利用可能な証拠によって結び付けられていないと明言している——同じファミリー名であり、別々のキャンペーンで、記事内にはそれらを結び付ける証拠はない。

報告書に書かれていることは変わるべきだ

Mandiantの推奨事項は、レポートのケーススタディ全体で繰り返されています。長期間有効な認証情報やサービスアカウントから離れ、ワークロードに紐付けられ、設計上短命なIDへ移行すること。AIコーディングアシスタントとMCPサーバーを特権セッションとして扱い、その拡張機能とCLIフックを実行前に検証すること。エージェントのワークロードを、未承認のモデルプロバイダーへのエグレスをブロックするネットワーク境界内に囲い込むこと。そして、トークン使用量、アプリケーション間のAPI呼び出し、機密資産へのエージェントアクセスを計装し、機密リポジトリの初回読み取りが正当なツールトラフィックに紛れ込まず、シグナルとして現れるようにすること。

コスト面では、AIのガバナンスとAIのためのガバナンスの間に線を引いている。一方はリスク選好と調達ルールを定める政策であり、他方は強制される技術的制限である。会計エージェントは、報告書が第二の種類の失敗例として挙げているものだ。Mandiantの見解では、その導入環境にはループを制約するものが何もなく、それを捕捉できたはずの制御——上限、レート制限、サーキットブレーカー——は、通常とは異なるワークロードに適用されたありふれた制御である。

三つの事例は原因を共有していない。一つは信頼の問題で、アシスタントの推薦が同僚の推薦に匹敵する権威を帯びていた。一つはどのモデルよりも前から存在する認証情報の問題で、モデルによって侵入はより速く、内部に入ってからはより適応的になった。一つはどちらでもない。攻撃者もおらず、悪用もなく、ただ台帳への書き込みアクセスを与えられ、壊れたツールを直すために費やせる金額に上限もないエージェントがいただけだ。共通しているのは、いずれの場合もAIシステムが誰にも範囲を定められていない権限――推薦する、再構成する、試行し続ける――を持っていたことだ。