要点
- セキュリティ企業 CloudSEK は、Silent Lynx という攻撃集団の操作者が、AI エージェントを使って中央アジアの政府系の組織を探っていたと報告した。
- AI は偵察、情報集め、痕跡の消去を担っていた。指示は、チャットアプリ Telegram から出されていた。
- 攻撃者が自分のサーバーを公開状態のまま放置し、AI の作業記録まで見つかった。AI の使い方が具体的に分かる、まれな例である。
何が起きたか
CloudSEK は、認証なしで中を見られる攻撃者のサーバーを見つけた。十数 GB の道具、盗んだ資料、AI エージェントの作業記録が入っていた。同社は、これを Silent Lynx（Cavalry Werewolf、YoroTrooper とも呼ばれる集団）の作業場と判断している。実装コードの特徴から、集団の特定は「高い確度」だという。
サーバー上では、オープンソースの AI エージェント Hermes が動いていた。CloudSEK の報告では、この AI が担ったのは、偵察、資料の収集、そして侵入先に残った痕跡の消去だ。消去は10月初めで、チャットの削除や、操作履歴の抹消などが確認されている。モデルは、主に DeepSeek を使っていた。複数の作業を並べて進める場面では Gemini も使われた。設定では、破壊的な命令も、あらかじめ確認なしで通る状態だった。
侵入先は複数ある。いちばん大きなデータの流出は、タジキスタン政府の電子文書の管理基盤からだ。鉄道職員1人の認証情報で入られた。攻撃者が集めた国防省関連の文書は、2,000件を超える。2026年の日付のものまで含む。
同じ報告によると、タジキスタンの鉄道網の内部には、8月中旬から少なくとも10月10日まで入られていた。ウズベキスタンでは、林業関連のサーバー上で命令を実行された。トルクメニスタン向けには、鉄道の電子切符や地方行政の報告書を装うおとりが作られ、10月に試されていた。被害を受けたかどうかは、確かめられていない。
国の関係はどうか。CloudSEK は、カザフスタンとの結びつきを「中程度の確度」とみる。操作がロシア語だったこと、操作者がカザフスタンの通信会社の回線から攻撃者のサーバーにログインしていたこと、操作者の試験機がその回線経由でテスト用の接続を送っていたことが材料だ。動機は、金ではなく地域の情報収集だと同社は見ている。
日本の利用者への影響
日本の組織が狙われたという報告は、今回は確認できなかった。標的は中央アジアの政府と、その周辺の組織だ。ただし、Hermes はオープンソースで、誰でも入手できる。同じ使い方は、他の攻撃者にも広がる可能性がある。
今すぐやること
- 自社で AI エージェントを使っているなら、何の権限を持たせているかを棚卸しする。
- 破壊的な操作は、人の確認なしに実行させない。CloudSEK の分析では、攻撃者側は確認を外していた。
- 共有の文書基盤は、1人の認証情報で他部署の文書まで読めないか確かめる。今回は、鉄道職員の認証情報から国防関連の文書に届いた。
- 古い OS や初期設定のままの機器を洗い出し、更新する。
- 技術者は、下の兆候を自社の監視に足す。
背景
AI が攻撃に使われた例は、すでに出ている。Anthropic は2025年、中国の国家支援とみる集団が Claude Code を悪用した諜報活動を公表した。
今回の報告では、操作者が自前の環境でオープンソースのエージェントを動かしていた。使っていたモデルは、OpenRouter という中継サービス経由の DeepSeek だ。
攻撃者側の弱点も出た。確認なしの実行を許し、失敗しても止まらない設定にしていた。痕跡を消す作業をしても、サーバー自体は公開されたままだった。AI を使えば攻撃が洗練されるとは限らない、ということだ。
技術者向けの詳細
- CloudSEK 報告: 「Off the Rails: Inside an Exposed Silent Lynx Server」。
- 攻撃者サーバー: 89.125.213[.]123（配布・C2）。関連ドメイン: foreverpeace[.]ru。ハッシュ一覧は報告にある。
- 使われた道具: Laplas、Chvost（既知のインプラント）。サービス名を正規のものに似せて常駐させる。
- 見る点: .lnk から PowerShell が起動する、Windows 部品を装うサービスの新規作成、未知の外部 IP への TLS 通信。
- 守る点: SMBv1 を無効にする。Active Directory の侵害が疑われるなら krbtgt を再設定する。ネットワーク機器の初期パスワードを変える。
- AI エージェント側の見る点: ターミナル、ブラウザ、cron を持つエージェントの設定。確認なしの許可リスト、ループ停止の無効化。
- 注意: CloudSEK は、報告に正式な対策の節を設けていない。上の対策は報告の内容から導いたものだ。
