セキュリティスタートアップHackron AIの研究者らは、Anthropic'のClaudeツールを使用してOpenAI従業員アカウントと機密性の高いGitHubデータにアクセスし、その証拠として無害なプルリクエストを提出した。この侵入そのものよりも、証明方法の選択が重要な意味を持つ。

戦略的なシグナルは、エージェント型AIが研究デモから実戦的な攻撃手段へと移行したことだ。攻撃者はもはや、偵察、認証情報の連鎖、横方向の移動といった各ステップを手作業で記述する必要がない。モデルをターゲットに向けて反復実行させるだけでよい。これにより、高度な侵入に必要なコストとスキルの敷居が劇的に下がり、最先端モデルを構築するラボ自身が、その能力の供給元であると同時に最も魅力的な標的の一つになったことを意味する。急速なエスカレーションが予想される。モデル提供者はエージェントのガードレールと不正利用検知を強化する一方、攻撃者は同じツールのジェイルブレイクを探る。取締役会にとって不都合な真実は、今日の無害なプルリクエストが、明日には汚染されたコミットや機密情報の流出になり得るということだ。

より深刻な露出は、ソフトウェアサプライチェーンにある。エージェントが従業員として認証され、リポジトリに触れることができれば、その影響範囲はそのコードのすべての下流消費者に及ぶ。ネットワーク境界ではなく、IDこそが真の戦場だ。静的な認証情報、過剰にスコープ設定されたトークン、恒久的なGitHub権限は、まさに自律エージェントがマシン速度で悪用するのに適したものだ。

日本企業とそのシステムを運用するSIerにとって、これは現在のAIエージェントとRPA導入ラッシュを再定義するものだ。多くの日本企業は、特権サービスアカウントや共有認証情報がすでに一般的な弱点となっているレガシー環境の上に、エージェント型オートメーションを重ねている。内部システムへの広範なアクセスを付与された自動化ツールは、機能的には疲労のないインサイダーだ。銀行、製造業、政府向けにエージェントプラットフォームを構築している大手インテグレーターなどのSIerは、すべてのエージェントを非人間IDとして扱い、最小権限のスコーピング、短期間有効なトークン、完全な監査ログ、特にコードコミットや金融取引などの書き込み操作に対する人間の承認ゲートを要求すべきだ。

国内の開発チームにとっての実践的な短期的対策は、AIエージェントとRPAボットが書き込みアクセス権を持つ場所を棚卸しし、認証情報をローテーションしてスコープを縮小し、マシン速度の動作に調整された異常検知を追加することだ。日本の構造的なセキュリティエンジニア不足はこれをより困難にしており、これはマネージド検知を購入し、エージェントガバナンスを調達基準に組み込むべきだという論拠になる。自律型ツールが企業全体に普及する前に、今すぐに。