AIエージェントが数十年前からあるプロンプト注入手法を使い、2時間未満でマッキンゼーの社内AIプラットフォームをハッキング

ウェイクアップ・コール：自律型エージェントが企業システムに牙を剥くとき

CodeWallのサイバーセキュリティ研究者による最近の実証実験は、企業向けAI分野に冷徹なメッセージを送った。人による介入や資格情報、事前の内部知識なしに動作する自律型攻撃用AIエージェント（Autonomous offensive AI agent）が、マッキンゼー（McKinsey）の社内向け生成型AI（Generative AI）プラットフォーム「Lilli」を2時間足らずで攻略することに成功したのである。テック業界はこれまで「殺人ロボット」の存亡リスクや複雑なプロンプト注入攻撃（Prompt injection attacks）に過度に関心を寄せてきたが、今回の事件は、AIインフラに対する最も危険な脅威が、実は数十年前から存在する根本的なセキュリティ上の欠陥に起因することが多いという残酷な現実を突きつけている。

この出来事は単なるデータ漏洩ではない。それはサイバー戦争の新時代に向けた概念実証（PoC）である。組織がワークフローへの生成型AIの統合を急ぐ中で、意図せず攻撃表面（アタックサーフェス）を拡大させ、自律型エージェントがマシンの速度でシステムを特定、悪用、浸透できる環境を作り出している。データプライバシーと戦略的機密保持を柱とする企業であるMcKinseyにとって、4万人以上の従業員が利用する社内プラットフォームの侵害は、企業向けAIを保護する方法におけるパラダイムシフトが急務であることを浮き彫りにしている。

マシンスピードによる侵害の解剖学

CodeWallによって実施されたこの侵害は、公開されているAPIドキュメントの脆弱性を特定するために設計された自律型エージェントを利用した。偵察に数日、数週間を費やす可能性のある人間の攻撃者とは異なり、CodeWallのエージェントは計算速度で動作した。120分以内に、エージェントはLilliを支える本番データベースへの完全な読み取りおよび書き込み権限を取得した。

自律型エージェントの作戦行動

このエージェントは、特殊なAI固有のエクスプロイト（脆弱性悪用）に頼ったわけではない。代わりに、インフラを系統立ててマッピングし、200以上のエンドポイントをリストした公開技術ドキュメントを特定した。そのうち22のエンドポイントは認証を必要としなかった。これらを反復的に調査することで、エージェントは古典的なSQLインジェクション（SQL injection）の脆弱性を発見した。

エージェントの有効性は、その自律的な性質によって増幅された。以下の実行が可能であった：

自動化された偵察の実行： 人間のような疲労を感じることなく、数百のAPIエンドポイントをスキャンする。
反復的なエクスプロイトの実行： 15種類のブラインドSQLインジェクションのバリエーションを試し、成功するベクトルを見つけるまで、失敗した試行ごとのエラーメッセージから学習する。
大規模なデータの持ち出し： 侵入後、4,650万件のチャットメッセージ、72万8,000件の内部ファイル、5万7,000件のユーザーアカウントをカタログ化した。これは、AIエージェントが人間と同等に、かつ大幅に速く複雑なデータ構造をナビゲートできることを証明した。

「数十年物」の脆弱性という皮肉

マッキンゼーの事例で最も驚くべき側面は、攻撃ベクトルそのものである。SQLインジェクションは1990年代から文書化されている脆弱性クラスである。最先端の生成型AIプラットフォームが「基本的な」Web脆弱性の犠牲になり得るという事実は、AI機能の開発と、それらを取り巻くセキュリティインフラの成熟度との間の断絶を浮き彫りにしている。

この事件は、開発者にとって重要な教訓を強調している。AIシステムは、まず第一にソフトウェアシステムである。開発者が大規模言語モデル（LLMs）をデータベースに接続するためのラッパーを構築するとき、彼らは実質的に新しいWebアプリケーションを構築しているのである。LLMとデータベースを接続するAPIレイヤーが、Lilliのケースのように（JSONフィールド名がクエリに直接注入されていたように）入力のサニタイズに失敗すれば、AIの高度な推論機能はホストサーバーの脆弱性の前では二次的なものになる。

脆弱性ランドスケープの比較

以下の表は、標準的なWebアプリケーションが直面する従来のセキュリティ課題と、現代のAI統合プラットフォームにおける拡大したリスクプロファイルを対比させたものである。

脆弱性の種類	攻撃のメカニズム	AIプラットフォームにおけるリスクレベル
SQLインジェクション	検証されていない入力を介してデータベースクエリに悪意のあるコードを注入する	高 RAGデータやシステムプロンプトへの直接アクセス
プロンプト注入	ガードレールを回避するためにLLMの指示を操作する	致命的データの持ち出しや悪意のあるコードの実行につながる可能性がある
不正なAPIアクセス	マイクロサービス内の認証されていないエンドポイントを悪用する	高自動化されたエージェントの侵入ポイントとなる
モデルインバージョン	モデルの出力からトレーニングデータを再構築する	中機密性の高いクライアント情報が露出するリスク

新たな脅威ベクターとしてのAIエージェント

マッキンゼーの侵害は制御されたレッドチーミング（Red-teaming）の演習であったが、悪意のあるアクターが攻撃を拡大するために自律型エージェントを使用する未来を予見させている。エージェントが自律的にターゲットを選択し、そのドキュメントを調査し、脆弱なエンドポイントを特定し、エクスプロイトサイクルを実行する能力は、戦力の倍増（フォースマルチプライヤー）となる。

伝統的に、人間のハッカーはターゲットが強固すぎたり時間がかかりすぎたりすれば、標的を変えることを選択するかもしれない。しかし、AIエージェントはそのような制約に縛られない。複数のターゲットに対して同時に、24時間365日休むことなく働き続けることができ、次世代のサイバー脅威にとって不可欠なツールとなる。

企業セキュリティへの示唆

企業にとっての教訓は明確である。「シャドーAI（Shadow AI）」や急速に導入された社内ツールは、基幹となる財務システムや顧客向けシステムと同じ厳格なセキュリティ基準で扱われなければ、負債となる可能性がある。

レッドチーミングの不可欠性： CodeWallが示したように、AIエージェント（AI agents）は認可された侵入テストを実行するために使用できる。企業は、悪意のあるエージェントに先を越される前に、自社のインフラを常に調査する独自の防御用エージェントを配備すべきである。
入力サニタイズの重要性は不変： AIレイヤーは、粗雑なバックエンドコードの盾にはなり得ない。パラメータ化されたクエリ、入力検証、厳格なAPI認証といった安全なコーディング実践こそが、最初にして最も効果的な防衛線である。
AIのためのロールベースアクセス制御： Lilliのようなシステムは、膨大なデータリポジトリへのアクセス権を持っていることが多い。AIエージェントは「最小権限」の原則によって管理されるべきであり、たとえAIが侵害されても、攻撃者が本番データベース全体に横展開（ピボット）できないようにする必要がある。

今後の進むべき道

マッキンゼーでの事件は、AIが本質的に安全ではないことを示すものではなく、むしろセキュリティ業界がAI導入のスピードに追いつこうとしている現状を示している。これらのプラットフォームが主要なコンサルティング会社や企業の「神経系」となるにつれ、その安全を確保する責任はIT部門から取締役会へと移る。

マッキンゼーがプラットフォームをオフラインにし、数時間以内に脆弱性を修正した事実は、堅牢で積極的な開示ポリシーと俊敏なセキュリティ対応チームの重要性を証明している。しかし、AIエージェントがより洗練されるにつれ、人間が対応できる時間の窓は縮小していくだろう。企業の究極の目標は、今回の出来事を決定づけたようなマシンスピードでの自動化された悪用を、アーキテクチャ自体が防止する「セキュア・バイ・デザイン（Secure by design）」のAIプラットフォームを構築することである。

Creati.aiは、これらの進展を密接に追跡し続ける。人間対人間のサイバーセキュリティ（Cybersecurity）の時代は、AI対AIの未来へと急速に移行しており、企業にとって、昨日の防御ツールはもはや明日のビジネスモデルを守るには不十分なのである。