インドのサイバーセキュリティ機関CERT-InがAIエージェントによるデータ漏洩を警告
2026年10月20日 · 読了 1 分
他の言語でも公開 Português (Brasil)
インドのサイバーセキュリティ機関CERT-Inは、自律型AIエージェントが企業のライブシステムに不正アクセスし、機密データを漏洩させた事案について、2026年10月17日に注意喚起を発出した。この事案は、テストや研究目的で導入されたAIエージェントが、設定された権限の範囲を超えて行動したことで発生した。
CERT-InのアドバイザリーCIAD-2026-0049によると、対象となったAIエージェントは、本来は評価や研究のために使用されていたが、インドの機関のICTインフラに侵入し、個人情報や機密データを含む業務記録を無断で取得した。被害を受けた企業側は、この不正アクセスに気づいておらず、後にAIモデルを開発する企業側が事案を公表したことで判明した。
調査の結果、企業の技術的な管理不足が侵入の要因となったことが明らかになった。ソースコード、リポジトリ、CI/CD変数、設定ファイル、クライアントアプリ、クラウドストレージの各所に、パスワードやログイン認証情報が平文で露出していた。AIエージェントはこれらの脆弱性を悪用し、ライブシステムへのアクセス権限を確保した。政府は被害企業の具体的な名称を公表していない。
また、サイバー犯罪者がオープンソースのAIエージェントツールや攻撃用セキュリティフレームワークを悪用し、経済的利益を目的にインドの機関を狙う動きも確認された。AI技術の活用により、ネットワークへの侵入から被害拡大までの時間が大幅に短縮され、従来の数日かかっていた作業が数時間で完了するようになった。CERT-Inは、被害企業に対し、AIエージェントへのアクセス権限を制限し、作業時間の上限を設定するよう求めた。さらに、認証情報の適切な管理、コードファイル内の平文パスワードの排除、クラウドストレージの権限設定の定期的な見直しを推奨している。