乗っ取られたコーディングアシスタントが100のリポジトリにワームを撒いた。Mandiant は「欠陥はモデルではない」と言う

Google の Mandiant が特別レポート AI Risk and Resilience を公開した。アンケート調査ではなく、同社のコンサルタントとレッドチーム、そして Google Threat Intelligence Group が2026年に実際に対応した事案から組み立てられている。最も目を引く一件はこうだ。ある SaaS 事業者で、攻撃者が稼働中の AI コーディングアシスタントのセッションを乗っ取り、それを使って汚染された PyPI パッケージを推薦させ、自己増殖する Shai-Hulud ワームを約100の社内リポジトリに撒いた。GitHub の OAuth トークン、リポジトリのシークレット、そして同社自身の製品ソースコードが外部へ流出した。

この経過のどこにも、モデルが騙されて不適切な振る舞いをした、という要素は必要ない。アシスタントは依存パッケージを推薦した。それがアシスタントの仕事だ。開発者はその推薦を受け入れた。それが開発者のすることだ。侵害されたのはセッションと、その周囲のサプライチェーンである。そしてエージェントの持つ権限が、たった一つの足がかりを100のリポジトリに変えた。

エージェントはいまや「アイデンティティ」である

これがレポート全体を貫く主張であり、「AI を使う攻撃者」という通俗的な枠組みよりもはるかに実用的だ。企業は2026年を通じて、提案するだけのアシスタントから、実行するエージェントへと移行した。トークンを保持し、API を呼び、リポジトリに書き込み、本番設定を変更し、金を使うシステムである。Mandiant の表現は正確だ。

このようなシナリオでは、LLM は助言者ではなく参加者であり、マシンスピードでの横展開と意思決定を可能にする。

資格情報を持つ参加者は、すなわちアイデンティティだ。そしてアイデンティティは、昔からアイデンティティが攻撃されてきたやり方で攻撃される。記録された事案のいくつかは、まさにそこに落ち着く。CI/CD アシスタントへのプロンプトインジェクション攻撃は、誰の指示に従っているのかをアシスタントに取り違えさせ、社内リポジトリを外部のエンドポイントへ持ち出させた。別の侵入では、社内の AI リポジトリを汚染し CLI フックを改ざんすることで、そのプラットフォームのごく普通のワークフローを経由してコード実行に至った。コミュニティフォーラムを参照していたカスタマーサービス用エージェントは、そのフォーラムに仕込まれたコメントによって誘導された。

いずれも風変わりなモデル理論上の失敗ではない。認可チェックの欠落、分離されていない資格情報、特権プロセスに届いてしまう信頼できない入力——古くからの問題が、置き換えられた対象よりも大きな権限を持つコンポーネントに引き継がれただけである。

攻撃者が登場しない事案

ある一件には敵対者がまったく存在しない。会計突合を担うエージェントが制約のない推論ループに陥り、1時間足らずで高コストの API 呼び出しを15,000回以上行った。クラウド請求額はおよそ5万ドルに達し、データベースをロックして実際の業務トランザクションを止めるほどだった。

Mandiant はこれを denial-of-wallet（財布への攻撃）として分類しており、セキュリティレポートに載るだけの理由がある。予算を持ち、遮断機構を持たない自律システムは、誰かが狙いを定めているかどうかにかかわらず、可用性のリスクであり財務上のリスクでもある。多くの組織の支出アラートは、暴走したエージェントが使い切ったずっと後に鳴る。

攻撃側で実際に起きた変化

レポートの脅威インテリジェンス側は、より漸進的だ。そのこと自体が注目に値する。攻撃者はモデルに助けを求めるプロンプトを打つ段階から、自律型の攻撃フレームワーク——名前が挙がっているのは Hexstrike と Strix——の内部でモデルを走らせ、偵察、脆弱性の検証、資格情報の収集を行う段階へ移った。一部のマルウェアは小型のモデルを同梱し、実行時に自身のペイロードを変異させてシグネチャベースの検知を回避する。2月には VirusTotal が、通常の自動化パッケージを装いバックドアやインフォスティーラーを仕込んだ悪意ある OpenClaw のエージェントスキルを発見した。5月には、AI が作成したゼロデイが大規模な悪用に使われた初の公式確認例が出た。オープンソースの Web 管理ツールにおける二要素認証のバイパスである。

それに対して、変わらない発見が一つある。脆弱性の悪用は6年連続で最大の初期侵入経路であり続けた。機械は速くなった。入口は変わっていない。

何をすべきか

Mandiant の推奨は地味で、ほとんどが配管工事の話である。

レポート自身の結論はこう締めくくられる。「2026年のレジリエンスは、非決定論的な AI システムを企業がどれだけ有効に統制し保護できるかによって、その一部が定義される。」

これらのツールを運用する側にとっての実務的な読み方は、もっと狭い。今年導入されたすべての AI エージェントは、「それはツールである」という前提の下でアクセス権を与えられた。Mandiant の事例集は、それをユーザーとして登録すべきだったという、リポジトリ100個分の証拠である——決して眠らず、向けられたものを何でも読み、トークンを持つユーザーとして。

参考: Mandiant AI Risk and Resilience Report 2026, Google Cloud · The Hacker News: Attacker Hijacks AI Coding Assistant Session, Spreads Shai-Hulud Across About 100 Repositories · Help Net Security: One runaway AI agent racked up a $50,000 cloud bill · Sonar: Mini Shai-Hulud Targets AI Coding Agents