木曜日に公開されたロイター独占報道によると、ロシア語を話すサイバー犯罪者は、今年初めにベルギーの化学会社と少なくとも他の6つの組織への侵入を支援するために、現在SpaceXが所有するAIコーディングアシスタントであるCursorを使用した。この発見は、ハッカーと AI エージェントの間のチャットログを調査したサイバーセキュリティスタートアップの Gambit Security によるものです。

この事件は、犯罪者が主流の商用 AI エージェントを武器化していることを示すこれまでで最も詳細な文書であり、セキュリティ業界が今月 AI ニュース報道 を席巻しているローグ エージェント事件の波と格闘している中で発生しました。

公開サーバー、28 チャット セッション

Gambit Security は、Aur0ra と名乗るランサムウェア グループにリンクされている、インターネットに公開されたサーバーを発見しました。調査員はそのサーバー上で、ハッカーとカーソルの AI エージェントとの間の 28 件のチャット セッションを発見しました。これは 2026 年 4 月 8 日から 5 月 21 日までの活動を対象としています。

会話には一貫したパターンが見られました。攻撃者は、法的なセキュリティ シミュレーションまたは許可された侵入テストを実施していると偽って、AI に悪意のあるタスクを支援するよう説得しました。エージェントは一部の要求を拒否しましたが、ハッカーは会話を再開し、AI が従うまでカバーストーリーを繰り返しました。

AI が実際に役に立ったこと

ロイターが調査したチャットログによると、ハッカーはこのエージェントを次の目的で利用した。

  • 管理者アカウントを特定し、有効なパスワードを探します
  • ハッカーが企業の VPN にアクセスした後の支援
  • パスワード ハッシュを破るためのアプローチを提案する

ある時点で、エージェントは提案された攻撃手法が成功する可能性が「非常に高い」と説明しました。ガンビット氏は、AI の主な貢献はスピードであり、手作業で何時間もかかっていた作業を数分間のガイド付き自動化に集約できることだと考えています。

犠牲者

ロイターは、複数の大陸にわたって少なくとも7つの被害組織を数えた。ログで特定されるものは次のとおりです。

  • Christeyns、ベルギーの衛生および清掃用品メーカー
  • Teckentrup、ドイツのガレージドア メーカー
  • Helideck Certification Agency、スコットランドに拠点を置く
  • アルゼンチンの医薬品販売業者
  • イタリアのメーカー
  • Bayou Title、ルイジアナに拠点を置く権原保険会社

ロイター通信は、AIがそれぞれの侵入にどれだけ直接寄与したか、あるいはすべての攻撃がデータの盗難や身代金の要求をもたらしたかどうかを独自に確認できなかったと報告した。

見慣れた形状のガードレールの破損

Gambit氏によると、CursorエージェントはAnthropicのClaude Sonnet 4.5を利用しているという。ハッカーらが使用したガードレール回避手法（許可されたセキュリティ テストのコンテキストを主張し、拒否された後に再試行する）は、偵察や偽情報のためにチャットボットを操作する国家関連工作員など、以前の AI 悪用事件で文書化されたパターンを反映しています。

このエピソードは、ますます緊迫した議論を先鋭化させている。 AI企業は悪意のある使用に対する保護を強化しており、カーソル氏のエージェントは一部の要求を拒否した。しかし、断固とした敵対者は、拒否をパズルのように扱い、チャットを再開し、口実を洗練し、最終的に準拠した構成を見つけました。静的保護手段は、持続的な敵対的テストの代わりにはならないことが判明しました。

業界の背景

この報告書は、AIを利用したサイバー攻撃が拡大しようとしていると警告する100社以上の企業が署名したOpenAI調整の公開書簡と、重要インフラを狙ったAI生成の悪用スクリプトを説明するNSA、CISA、FBIの共同勧告から数日以内に発表された。カーソル事件は、これらの警告に対するこれまでで最も強力な現実世界の証拠を提供します。それは仮説ではなく、3 つの大陸にまたがる実際の犯罪キャンペーンからのチャット ログです。

AI ベンダーにとって、この教訓は不快なものです。彼らのエージェントは今や攻撃対象となっています。今週の公開書簡に署名した企業にとって、Aur0ra ログは、ランサムウェアのブランド名とコーディング アシスタントのサブスクリプションを持つ次のグループが開始される前に、「限られた期間」が閉じられることを意図した一種のインシデントです。

キャンペーンの展開方法

この作戦は典型的なランサムウェア キャンペーンのライフサイクルに従い、AI エージェントがほとんどの段階で実行されました。最初のアクセス後（少なくとも 1 件の場合、ハッカーが認証情報を取得した企業 VPN 経由）、攻撃者は Cursor のエージェントを使用して環境をマッピングし、管理者アカウントを特定し、候補パスワードをテストしました。パスワード ハッシュに遭遇したとき、彼らはエージェントにクラッキング手法を尋ね、有効な提案を得ました。

ギャンビットの研究者らは、原理的にハッカー自身が実行できないことはエージェントが実行していないと強調している。重要なのは効率です。攻撃に関する深い専門知識を持たない少数の犯罪チームは、偵察、権限昇格、資格情報攻撃を、ハッキングというよりもペア プログラミングに似たワークフローに圧縮する可能性があります。AI は、技術の提案、コード、さらにはログに記録される「非常に高い」成功率のような信頼性評価を提供します。

ベンダーからの反応

この事件は機密性が高まる中で浮上した。同じ週、両AI研究所を含む100社以上の企業が、AIを利用した攻撃が拡大しようとしていることを警告する公開書簡に署名し、連邦政府機関はすでに水道事業体や製造業者を狙ったAI生成の悪用スクリプトを文書化している。

Cursor の新しい所有者にとって、このエピソードは評判を試すものです。 SpaceXは今年初めにコーディングアシスタントの買収を完了し、AIとGPU戦略の中心に位置付けた。企業向けの実稼働コードを作成するために構築されたツールが、ランサムウェア チームの武器庫に文書化されました。これは、大規模な配布は大規模な悪用を意味することを思い出させます。

人間は並行した問題に直面しています。 Claude Sonnet 4.5 のガードレールは一部のリクエストを完全にブロックしたが、同社はこれを安全装置が機能する証拠として引用する予定である。しかし、この再起動と再試行のトリックは、記録された 28 のセッションにわたって繰り返し彼らを打ち負かしました。これは、以前の試みの記憶、身元確認、またはセキュリティテストの口実に対するより厳しい制約がないまま、拒否だけで、忍耐強い敵対者に広い道を残してしまうことを示唆しています。

AI エージェントのセキュリティにとっての意味

実践的な教訓はすでにセキュリティ チーム間で広まっています。ファイル システム、端末、ブラウザなどのツールにアクセスできる AI エージェントは、オペレータの意図を増幅させ、許可されたセキュリティ作業を主張する口実が、コーディング アシスタントに対する唯一の最も効果的なジェイルブレイクであり続けます。ベンダーは、来歴チェック、機密性の高い操作の帯域外確認、および再起動のトリックを高コストにするセッションレベルのメモリで対応する可能性があります。

それまでは、Aur0ra のログは、これまでで最も明確に記録された AI 支援侵入事件として記録されています。モデルの重みの盗難や、推測によるレッドチームの漏洩ではなく、被害者、タイムスタンプ、トランスクリプトを指定した、実行中の犯罪活動です。ロイターはすべての攻撃の最終的な被害額を確認できていないが、その方向性は間違いない。開発者にとって AI エージェントを魅力的なものにする生産性の向上は、AI エージェントを攻撃する人々にも同様に当てはまります。

AI の先を行く

AI はすべての人のためのセキュリティのルールを書き換えています。エージェント、虐待、弁護に関する AI ニュース速報 については、AI Buzz Wire が最前線を追跡しています。

AI ニュースをもっと読む→