要点
- 1人の攻撃者が12の AI エージェントを使い、11か国の数百の組織を狙ったと、セキュリティ会社 Acronis が報告した。
- 大学や救急サービスでは、医療情報や個人情報の持ち出しが確認された。心電図や救急車の映像が、認証なしで見られる状態の例もあった。
- 攻撃者は一人でも、AI のおかげで大きな集団のように動けた。ただし AI は間違いも多く、守る側にも付け入る余地がある。
何が起きたか
Acronis の脅威調査部門（TRU）は 2026年11月4日、この活動を「BOSSAI」として公表した。最初は、設定を誤った開発環境に見えたという。調べると、9 GB・9万超のファイルから、一人の攻撃者の作業の記録が出てきた。
Acronis によると、攻撃者は台湾の花蓮市にいると「高い確度」で見られる。動機ははっきりしない。できるだけ多くの組織に入り、その足がかりを金に換える狙いだったと、Acronis は見ている。
使われた AI エージェントは12。うち9つが動いていた。役割は、道具や基盤を作る係、攻撃を試す係、弱い箇所を探す係に分かれていた。ただしエージェント同士は直接やり取りしない。攻撃者が結果を手で次の AI に渡していた。
Acronis が確認した被害は次のとおり。
- 確実に侵入されたのは、3か国の約10の標的。大学と救急サービスでは、データの持ち出しも確認された。
- 台北の消防の救急患者ケア記録の基盤では、心電図、救急車の映像、バイタル（脈拍など）といった医療データが、認証情報なしで見える状態だった。データは2018年に遡るとされるが、期間の範囲は報告の読み方によって異なりうる。
- タイでは、3つの大学で SQL インジェクション（入力欄から DB を不正に操作する手口）によるデータの抽出が確認された。うち1つの大学では、管理者のテーブル（2,563行）も確認されている。
- メキシコでは、約20万件の住宅の電話番号などが集められた。
AI の限界も記録されている。市販の AI は、攻撃にあたる依頼を繰り返し断り、書面の許可を求めることもあった。そこで攻撃者は、安全装置を外した自前の AI に切り替えた。こちらは言うことを聞くが、能力が低い。Acronis によると、証拠のない脆弱性を作り出すことがあり、接続に失敗しただけの結果を「重大な遠隔コード実行の欠陥」と誤って判定した例もあった。ある AI は、ホンジュラスの軍の標的を「範囲外」と自分で判断してやめた。
攻撃者の足跡も多く残っていた。自宅の IP アドレスや、事業用のメール、同じ名前の使い回しなどが、特定の手がかりになったと Acronis は述べている。これらの重なりは、無関係な基盤や人物が偶然重なった可能性を「大きく下げる」と Acronis は説明している。
日本の利用者への影響
日本の組織への被害があったかどうかは、分からない。Acronis の報告で標的として挙がっているのは、台湾、タイ、メキシコ、ホンジュラスなどだ。
ただし、同じ手口は日本にも向きうる。公開されたままの管理画面、初期設定のままのパスワード、古いシステムは、国を問わず探される。日本の自治体、病院、大学も同じ立場だ。
今すぐやること
Acronis は、守る側が優先すべき点として、公開サービスの把握、確認済みの欠陥の早い修正、重要な記録の保護、不審なアクセスやデータの動きの監視を挙げている。これを踏まえ、次の順で進めるとよい。
- まず、自組織がインターネットに何を公開しているかを洗い出す。忘れられた管理画面や古い業務システムがないか見る。
- 初期設定のままのパスワードや、認証なしで見られるデータがないか確かめる。見つけたら、すぐ閉じる。
- 患者情報や個人情報など、漏れると重い記録を持つシステムから先に、既知の欠陥の修正を済ませる。
- 見慣れないアクセスや、大量のデータが外へ出る動きを、ログで見張る。
- AI ツールが出した調査結果は、そのまま信じない。この事件でも、AI は根拠のない欠陥を報告した。実際に侵入された事実と、誤報の多い自動出力は分けて扱う。
背景
AI を攻撃に使う例は増えている。今回の特徴は、組織ではなく個人が、複数の AI を組み合わせて広く動いた点だ。Acronis はこれを「AI-augmented threat（AI で強化された脅威）」と呼ぶことを提案している。
一方で、市販の AI の安全装置は一定の効果を見せた。攻撃者は断られ、能力の劣る自前の AI に頼った。Acronis によると、市販の AI は基盤づくりなどの周辺作業では使われていた。また、攻撃者が偽の許可書を用意していた場合に市販の AI がどう応じたかは、不明だと TRU は書いている。
Acronis は、リスクを見るときに一つのモデルだけを調べても足りないと指摘する。AI が使う道具、与えられた権限、操作する人の判断、AI 間の受け渡しまでを含めて見る必要があるという。
技術者向けの詳細
- 報告: Acronis TRU「BOSSAI」（2026-11-04、ブログは11-08更新）。観測期間はメッシュ12日、Hermes の設定バックアップは19日分。
- 構成: 構築系（Grok、OpenClaw、Claude Code、Codex CLI）、攻撃系（Hermes、Cursor、Trae、CyberStrike）、走査系（HalberdStrike、AWVS の不正版）。Claude Code と Codex は、安全装置を外したモデル（DS4）に API 経由でつないでいた。
- Hermes は自動承認の設定で動作。端末コマンド 3,300 件超、コード実行 2,000 件超。MCP サーバーは最大13から3つ（HexStrike AI、Kali、Ghidra）に絞られた。
- 質の問題: HalberdStrike の重大・高の指摘は半数超が誤検知。CyberStrike の出力は検証できていない。
- 台湾の例: 緊急管理システムのフロントエンド JavaScript に AES-256 鍵が埋め込まれていた（完全な侵害は未確認とされる）。貸金業者の MSSQL 2017 の DB で SQL インジェクション16点を確認し、データが得られた。消防配車ベンダーの管理画面に初期の root 資格情報。
- 照合には報告の最新版を使ってほしい。
