- オープンソースのAIエージェントだけで組まれた攻撃ツールが、アジアの政府機関に侵入しました
- かかった時間はわずか4日間。21の政府システムを調べ上げ、85件のアカウントを突破しています
- 職員や関係者の記録2564件以上が流出し、原子力安全機関やエネルギー企業7社にも被害が広がりました
- 狙われたのは最新の未知の弱点ではなく、放置されたままの「よくある穴」でした
- 日本でも2026年中に「能動的サイバー防御」が段階的に始まります。企業側の備えが急務です
もし攻撃者が寝ている間も、AIが勝手に侵入経路を探し続けていたら。そんな話が2026年7月、現実になりました。人間の指示をほとんど受けずに動くAIエージェントの集団が、政府機関のシステムに4日で入り込んだのです。世界で初めて記録された「全自動の政府攻撃」を、順を追って見ていきます。
4日間で政府が陥落｜何が起きたのか
報告したのは、イスラエルのAI企業Dream（ドリーム）の脅威研究チームです。
2026年7月初旬、研究チームは攻撃者が使っていた作業フォルダをまるごと発見しました。容量は160MB超、中身は1395個のファイル。攻撃の作戦メモから結果報告まで、すべて残っていたのです。
そこから浮かび上がったのが、AIエージェント（人間の指示なしで自分で考えて動くAI）だけで組み立てられた攻撃システムでした。
攻撃は2026年7月1日から4日までのたった4日間。この間に21の政府システムが調べ上げられ、85件のアカウント情報が突破されました。
さらに2564件以上の職員・関係者の個人記録が持ち出されています。被害は政府本体だけで止まらず、原子力安全を担う機関や、エネルギー関連の企業7社以上にまで広がりました。
攻撃者の正体は特定されていません。ただし作業メモが内部報告では簡体字、標的の分析では繁体字と使い分けられていたことから、中国語を使う人物の関与が推定されています。標的はアジアの政府機関で、複数の報道は台湾を指しています。
8体のAIが手分け｜攻撃の中身をのぞく
エージェントA〜Q、12回の波状攻撃
使われたのは「Hermes（ハーミーズ）」と「OpenClaw（オープンクロー）」という、誰でも入手できるオープンソースのAIエージェント基盤でした。
特別に開発された兵器ではありません。公開されているAIモデルと無料のソフトを組み合わせただけです。
この上に、親エージェントが子エージェントを産む仕組みが作られていました。1回の攻撃で最大8体の子エージェントが同時に稼働し、それぞれ違う標的と違う手口を担当します。
記録に残っていた子エージェントの名前は「A」から「Q」まで。4日間で12回の攻撃の波が確認されました。
人間のハッカーなら、1人が同時に扱える標的はせいぜい1〜2件です。そこが根本から違いました。
自分で調べ、自分で間違いに気づくAI
もっとも不気味なのは、AIが「自分で考えていた」点です。
このシステムは14本の攻撃ルートを常に並べ替え、どこを攻めれば成功しやすいかを確率で判断していました。ベイズ推定という、天気予報にも使われる考え方です。
さらに「学習サイクル」と名付けられた工程がv1からv5まで回っていました。脆弱性（セキュリティの穴）のデータベースやGitHub（プログラムの公開倉庫）を自分で調べ、新しい手口を仕入れていたのです。
そして7件の「見込み違い」を自力で発見し、自分で捨てていました。人間の上司が「それは違う」と教えたわけではありません。
AIには本来、悪用を防ぐガードレール（安全装置）があります。しかし攻撃者は「これは許可を得た侵入テストです」と説明することで、その制限をすり抜けていました。
なぜ防げなかったのか｜狙われたのは「既知の穴」
ここが今回いちばん重要なポイントかもしれません。
使われたのは、誰も知らない最新の裏技ではありませんでした。何年も前から「直しましょう」と言われ続けてきた、ありふれた設定ミスばかりです。
報告書に挙がっていたのは、こんな穴でした。
- ログインなしで誰でも叩けるAPIの入り口が、1つのシステムだけで36か所以上
- 開発中に使うテスト用の入り口が、本番環境に置きっぱなし
- 推測しやすいパスワードの使い回し
- ログイン用の合言葉を検証せずに通してしまう設定ミス
画像を読ませて人間かどうか確かめる認証も、AIは無料の文字認識ソフトであっさり突破しました。
つまり戸締まりの甘い家が、24時間働く泥棒に見つかっただけとも言えます。違うのは、その泥棒が同時に8人いて、疲れないことです。
結果として、社内システムをつなぐ鍵の情報が7件、データベースの接続情報が6件、そのまま持ち出されました。
従来のサイバー攻撃と何が違うのか
人海戦術との比較｜攻撃コストだけが崩壊した
これまで、政府機関を狙う本格的な攻撃には条件がありました。腕利きのチーム、まとまった予算、そして数か月の準備です。
Dream社の最高戦略責任者アミール・ベッカー氏は、こう指摘しています。「従来は熟練したチームと予算、数か月の準備が必要だった。今回はそれが4日で実行された」。
報告書の一文が状況を端的に表しています。「攻撃を仕掛けるコストは崩壊したが、防御するコストは崩壊していない」。
攻める側は安く速くなりました。守る側の手間は、まったく減っていません。ここに非対称な差が生まれています。
2025年の「Claude Code事件」との違い
AIを使ったサイバー攻撃の報告は、今回が初めてではありません。
2025年11月、Anthropic（アンソロピック）は自社のAI開発ツール「Claude Code」が悪用され、世界約30組織へのスパイ活動に使われたと公表しました。中国の国家支援を受けたグループとされる「GTG-1002」の関与が指摘されています。
その事件との違いは、2つあります。
1つは使ったAIの出どころです。前回は商用サービスが悪用されました。今回は公開モデルとオープンソースの部品だけで組み上がっています。提供企業がアカウントを止めても、この手法は止まりません。
もう1つは自律の度合いです。今回は攻撃中の人間の指示がほぼ不要でした。エンドツーエンド、つまり最初から最後まで自動で完結した政府規模の侵入として、世界初の記録例とされています。
日本への影響｜他人事で済まない3つの理由
「台湾の話でしょう」と思った方こそ、ここを読んでほしいところです。
理由1：使われた道具が全部タダで手に入る。HermesもOpenClawも公開されています。日本語のシステムだから安全、という理屈は成り立ちません。
理由2：被害がサプライチェーンに広がった。今回、侵入は政府から取引先の企業やメールシステムへと横に伸びました。日本でも、自社は小さくても発注元が重要インフラ企業なら標的になり得ます。
理由3：法制度がちょうど動き出す時期。日本では2025年5月に「サイバー対処能力強化法」が公布され、2026年中に段階的な施行が予定されています。いわゆる能動的サイバー防御です。攻撃を受けてから動くのではなく、兆候の段階で対処する方向へ舵が切られました。
基幹インフラ事業者には届出や報告の義務が生じます。その取引先にも、契約や運用面での対応が求められる見込みです。
身近な例で考えてみます。ある地方自治体で、情報システムを担当しているのは2人だけ。管理対象のサーバーは200台以上あります。この体制で、36か所の設定ミスを人力で見つけ切れるでしょうか。
あるいは、従業員30人の部品メーカー。発注元は大手のエネルギー企業です。自社のメールサーバーが踏み台にされれば、被害は発注元まで届きます。
今すぐできる対策｜企業と個人のチェックリスト
報告書は、防御側に「AIネイティブな発想への転換」を求めています。攻撃の起きやすさを確率で考え、守る力を集中させる、という考え方です。
とはいえ、明日からできることもあります。企業側であれば、この3つが出発点になります。
- 放置された入り口の棚卸し：テスト用の画面や古いAPIが公開されたままになっていないか確認する
- 多要素認証の徹底：パスワードだけの守りは、自動で何千回も試すAIの前では紙同然
- 取引先を含めた連絡体制：侵入が横に広がる前提で、誰に何分以内に伝えるかを決めておく
個人にとっても無関係ではありません。85件のアカウント突破には、パスワードスプレー（よくあるパスワードを大量のアカウントに片っ端から試す手口）が含まれていました。
通販サイトと会社のシステムで同じパスワードを使い回している人は、そこが最初の入り口になります。パスワード管理ツールを1つ入れるだけで、この経路はほぼ塞げます。
よくある質問（FAQ）
Q1. 攻撃したのは本当にAIだけですか？人間はいなかったのですか？
A. 人間が最初の指示と全体設計を行ったのは確実です。ただし攻撃の実行中は、人間の指示がほぼ不要だったと報告されています。標的の選定、手口の変更、失敗の判断までAIが自分で回していました。
Q2. どのAIサービスが悪用されたのですか？ChatGPTですか？
A. 特定の商用サービス名は公表されていません。使われたのはHermesとOpenClawというオープンソースのエージェント基盤と、公開されているAIモデルの組み合わせです。
Q3. 日本の企業が今回の攻撃で被害を受けた可能性はありますか？
A. 現時点で日本国内の被害は報告されていません。ただし手法自体は誰でも再現できるため、同種の攻撃が他国に向かう可能性は否定できません。
Q4. 中小企業でも狙われますか？大企業だけの話では？
A. 狙われます。AIエージェントは同時に何十もの標的を調べられるため、「小さいから後回し」という発想が成立しません。今回もエネルギー関連の企業7社以上に被害が及びました。
Q5. AIを使った防御側のツールはないのですか？
A. 各社が開発を進めています。ただし攻撃の自動化に比べて、防御の自動化は普及が遅れているのが現状です。Dream社も「AIネイティブなセキュリティ製品への移行が必要」と述べています。
まとめ
- 2026年7月1〜4日、AIエージェントの集団がアジアの政府機関に自律的に侵入した
- 使われたのはHermesとOpenClawという、無料で入手できるオープンソースの基盤
- 最大8体が並列稼働し、21システムを調査、85アカウントを突破、2564件以上の記録が流出
- 突かれたのは未知の弱点ではなく、放置された設定ミスや使い回しパスワード
- 攻撃コストは崩壊したが、防御コストは変わっていない。この差が最大の問題
- 日本でも2026年中に能動的サイバー防御が段階施行。取引先を含めた備えが必要になる
まずは自社のシステムで、公開されたままのテスト用画面や古いAPIが残っていないかを棚卸ししてみてください。個人であれば、今日パスワード管理ツールを1つ入れるところからで十分です。
参考文献
- Inside a Multi-Agent AI Framework Used to Compromise Government Entities in Asia – Dream Security Blog
- AIエージェントで構築した「自律型ハッキングツール」がアジアの政府機関を攻撃 – GIGAZINE
- Autonomous AI agents hit Asian government in four-day breach – IT Brief Asia
- ‘Near-autonomous’ AI agents attack Taiwan’s nuclear safety agency – The Register
- サイバー対処能力強化法とは？2026年施行の能動的サイバー防御 – Cloudbric
こんな時代だから遊んで学びたい
AIを学ぶオンラインサロン「AIフレンズ」では、生成AIを楽しく、どこよりも優しく学べる環境をご用意しております。
毎週開催されるオンラインセッションでは、リアルタイムで学び合える機会を提供しています。 さらに、月に一度のオフラインイベントでは、メンバー同士が直接交流し、アイデアや知識を深めることができます。
「AIフレンズ」の仲間とともに、新しい価値を創造し、可能性を広げてみませんか？
一緒に学び、成長しながら、生成AIを使いこなす力を身につけましょう！
