AIによるコード生成は開発効率を大きく向上させる一方、開発者が利用するOSSのパッケージや依存関係が増加し、それらを一つ一つ精査することが難しくなっている。AI関連の開発環境では、MCP（Model Context Protocol）サーバをはじめ、モデルの重みやフォーマット、推論エンジン、ベクトルデータベースなど、新たなソフトウェアも登場している。だが、これらは開発を効率化する一方で、攻撃者にとって新たな侵入口を増やすことにもつながる。

　GTIGが追跡する金銭目的の脅威アクター「UNC6780」（TeamPCP）は、「PyPI」や「npm」「Docker Hub」などのソフトウェアエコシステムを狙ったサプライチェーン侵害を複数回試行している。同グループは、正規の開発者アカウントを侵害し、悪意のあるコードを組み込んだMCP関連ツールを公開したほか、開発者が利用するAIコーディング環境そのものも標的にした。

　さらに、同グループが利用するマルウェア「DUSTMAKER」には、AIコーディングアシスタントやIDEが使用する隠しディレクトリに悪意のあるファイルを配置する機能が確認された。こうしたファイルによって、AIツールがプロジェクトを開いた際に悪意のある処理が自動的に実行されるよう仕組まれていた。

　これは、AIが新たな攻撃対象になっているだけではない。AIコーディングツールやAIエージェントを介して、攻撃者が開発者の環境やソフトウェア開発プロセスそのものに影響を与える可能性があるということだ。AIを開発工程に組み込む企業には、従来のOSS管理に加え、AIツールやその周辺環境まで含めたサプライチェーン対策が求められる。

AIモデルだけではない　プロンプトやAPIキー、クラウド資源も標的に

　GTIGは、AIを活用する企業にとって、AIモデルやソースコード、プロンプト、研究データなどの知的財産も攻撃対象になっていると指摘する。

　2026年第2四半期には、医療や政府、軍事、メディア・エンターテインメントなど幅広い業界で、独自に開発したAIモデルや関連データが窃取される事例が確認された。AIそのものを主力製品としていない企業であっても、AIの利用に伴ってさまざまな資産を保有している点には注意が必要だ。

　例えば、社内向けAIで利用するプロンプトやRAG（検索拡張生成）のデータ、APIキー、AIエージェントの設定ファイル、AIモデルへのアクセス権などが挙げられる。これらの情報が漏えいした場合、機密情報が流出するだけでなく、攻撃者に企業のAI環境を不正利用される可能性もある。

　実際、GTIGは、攻撃者が侵害したクラウド環境にローカルLLMを展開し、被害企業のコンピューティングリソースを利用する事例を確認した。AIモデルやデータだけでなく、AIを動かすためのクラウド上の計算資源そのものが、攻撃者にとって価値のある資産になっているということだ。

　企業にとってAI環境の保護は、機密情報を守るだけの問題ではない。APIキーや認証情報、クラウドリソースまで含めて管理し、不正利用やリソースの乗っ取りを防ぐことが重要になっている。

AIサービスのアカウント管理が新たな課題に

　AIサービスを利用するには、APIへのアクセス権や高性能なコンピューティングリソースが不可欠だ。攻撃者の標的はAIサービスのアカウントだけでなく、企業のクラウド環境にも広がっている。

　GTIGによると、アンダーグラウンド市場では、AIサービスの認証情報に加え、自律型コーディング環境のアカウントに対する需要も高まっている。AIサービスへのアクセス権そのものが、攻撃者にとって価値のある資産になっている。

　これに伴い、情報窃取マルウェアの標的も変化している。これまで狙われてきたWebブラウザの認証情報だけでなく、AI開発ツールの設定ファイルやAPIキーなど、AI環境に保存された認証情報も窃取の対象となっている。

　さらに、企業のクラウド環境を侵害し、そのコンピューティングリソースを無断でAIワークロードに利用する「LLMJacking」と呼ばれる攻撃も確認された。攻撃者にとっては、自ら高額な計算資源を用意しなくても、侵害した企業のクラウド環境をAI処理の基盤として利用できるからだ。

　これらの状況を踏まえると、情シスにとってAIサービスのアカウント管理は、単なるSaaS管理の延長ではない。認証情報が窃取されれば、不正なAI利用によってコストが急増するだけでなく、企業のクラウドリソースが攻撃者の計算基盤として悪用される可能性もある。

　AIサービスの導入が進む企業では、APIキーや関連する認証情報を適切に管理すると同時に、AIサービスの利用状況やクラウドリソースの異常な消費を監視するなど、AIを前提とした新たな管理・監視体制が求められる。

偵察から侵入後の対応まで　広がる攻撃者のAI活用

　GTIGが注目しているのが、攻撃活動におけるAIの利用範囲が個別の作業から攻撃ライフサイクル全体へと広がっていることだ。

　中国やイラン、ロシアなどと関連するサイバー諜報グループでは、標的の調査やメールアドレスの特定、フィッシング文面の作成・翻訳のほか、マルウェアの開発やコードの難読化、侵入後のトラブルシューティングまで、攻撃のさまざまな段階でAIが利用されている。

　金銭目的のサイバー犯罪でも同様の傾向が見られる。AIコーディングツールを利用してマルウェアを開発するほか、窃取したデータの分析や攻撃用インフラの構築など、攻撃活動の効率化にAIを活用する事例が確認されている。

　もっとも、GTIGは現時点で「AIによる完全自律型のゼロデイ攻撃が一般化した」とは評価していない。現在のところ、攻撃者がAIに全てを任せるのではなく、人間による判断とAIによる自動化を組み合わせるのが主流だという。

　一方で、その境界は徐々に変化している。例えば、公開された脆弱性情報を基にエクスプロイトを試作するなど、これまで人間が担っていた工程をAIによって高速化する動きが進んでいる。

　現時点では完全自律型の攻撃が主流ではないものの、AIが攻撃活動の複数の工程に組み込まれ、その自動化と高速化を支えている。企業側には、AIを利用した攻撃を個別の脅威として捉えるだけでなく、攻撃全体のスピードや規模が変化していることを踏まえた対策が求められる。

情シスが見直すべき「AI時代のセキュリティ」

　今回のGTIGの報告から、企業の情シスが押さえるべきポイントは明確だ。

　第一に、AIサービスの認証情報を通常のSaaSアカウントと同等、あるいはそれ以上に重要な資産として管理する必要がある。APIキーや開発ツールの設定ファイルをソースコードや端末内に平文で保存しないことはもちろん、必要以上の権限を付与しないことも基本となる。

　第二に、AIコーディング環境を新たな開発サプライチェーンとして捉える必要がある。AIが推奨したパッケージだからといって、安全とは限らない。利用するオープンソースやMCPサーバ、依存関係について、提供元や更新状況、既知の脆弱性などを確認し、利用環境を適切に管理することが重要だ。

　第三に、クラウド環境の監視も欠かせない。突然のGPUリソース利用や、見覚えのないAIサービスの有効化、API利用量の急増、未知のサービスアカウントの作成などは、AI関連資産を狙った侵害の兆候となる可能性がある。AIワークロードを含めたクラウド利用状況を継続的に監視し、異常を早期に検知できる体制が求められる。

　そして、AIエージェントの権限設計も重要になる。AIにコード実行やファイル操作、外部APIへのアクセスなどを許可する場合、人間の開発者と同等の権限を無制限に与えるのではなく、用途に応じて権限を分離する必要がある。加えて、AIエージェントがどのような操作を実行したのかを追跡・監視できる仕組みも不可欠だ。

　生成AIは企業の生産性を高める一方で、攻撃者の生産性も高める。今回のGTIGの報告が示しているのは、AIが単なる「攻撃を効率化するツール」から、「攻撃を自動的に進める基盤」へと変化しつつある。

　これからのセキュリティ対策では、AIを利用しているかどうかだけを確認するのでは不十分だ。「AIにどのような権限を与えているのか」「AIが利用するデータやコードは安全か」「AIを悪用した異常なクラウド利用を検知できるか」といった観点まで含めて管理しなければならない。

　AI活用が本格化するほど、企業にとってAI環境は守るべき重要なIT資産となる。攻撃者がAIを戦力として取り込むスピードに対抗するには、防御側もAIの利用を前提とした新たなセキュリティ運用へ移行することが求められる。