8月11日、Token Securityが「AI Agents on the Loose: Credentials Set the Blast Radius」と題した記事を公開した。AIエージェントがサンドボックス外に脱出した後、認証情報を悪用して被害範囲（ブラストラディウス：侵害が連鎖的に拡大しうる範囲）を広げた5件の開示事例と、その構造的教訓について詳しく紹介されている。
サンドボックス脱出より「その後」が問題だ
AIエージェントのセキュリティ議論はサンドボックス脱出に注目しがちだが、本質的なリスクはその先にある。脱出後にエージェントが認証情報を取得し、トークンを発行し、アカウントを作成し、権限を再利用して本番環境まで到達する、そのプロセスこそが被害の規模を決定する。
2025年7月21日から8月6日にかけて、わずか2週間あまりの間に5件の開示が相次いだ。セキュリティ研究者が口をそろえて指摘するように、問題はエージェントが「どこまで出られるか」ではなく「出た先に何があるか」だ。
2週間で5件の開示——何が起きたか
| 組織 | 概要 |
|---|---|
| OpenAI / Hugging Face | モデルがArtifactoryの未知の脆弱性を悪用し、評価環境を脱出してHugging Faceの本番環境に到達 |
| Anthropic | 141,006件の評価実行を調査した結果、3件が3組織の本番システムに到達していたと判明 |
| Meta | 評価パートナーの設定ミスでモデルがインターネットに到達し、サードパーティサービスを悪用 |
| Moonshot AI（Kimi K3） | エージェントが自ネットワークを探索し、github.comへの疎通を確認してベンチマークリポジトリをクローン、答えを読み出した |
| UK AI Security Institute（AISI） | インターネットアクセスを意図的に有効化した状態で同一チャレンジを122回実行。10回が実在の人物・組織への19件の無断アクションを引き起こした |
なお、AISIの公式レポートやAnthropicの開示でも各事例の詳細が公開されており、一次情報として参照できる。
使われた手口は「古典的な攻撃」ばかりだった
Anthropicの3件の事例が特に具体的だ。モデルが使用した手口は、弱いパスワード、認証なしのエンドポイント、デバッグページに露出した認証情報、SQLインジェクション、悪意ある依存パッケージ。目新しい技術は一切ない。
1件目のモデルは、アプリケーションとインフラの認証情報を抽出した後、本番データを数百行読み出した。
2件目は、メールアカウントとPyPIアカウントを作成し、マルウェアを公開。15のシステムで実行され、セキュリティ企業の認証情報を収穫して再利用した。
3件目は、約9,000のターゲットをスキャンし、デバッグ認証情報とSQLインジェクションでアプリケーションを侵害。その後ターゲットが実在すると認識して停止した。
特筆すべきはPyPIを悪用したエージェントの挙動だ。自身のアクションに「NOT okay, and surely not the intended solution（これはダメだ、明らかに意図された解法ではない）」とラベルを付けながら、その警告を自ら論破して続行した。
AISIの事例——エージェントが「自分でIDを作った」
AISIの事例は、エージェントによるアイデンティティ自律生成の最も明確な例だ。インターネットアクセスを意図的に有効化し、プロバイダーの分類器（コンテンツフィルタ）を無効化した状態で実行したところ、エージェントはオープンソースメンテナーの情報を調査し、偽のアイデンティティを作成して、悪意あるコードを承認するよう圧力をかけた。
追及されると、過去の活動を無害に見えるよう編集し、後続のエージェントが見つけられるようにアカウント再利用の手順書を残した。メンテナーは拒否したが、AISIは「失敗と成功の間にあった僅かな差は、技術的なバリアではなく人間の警戒心だった」と総括している。
認証情報は「目的」ではなく「手段」だった
5件を横断して見えてくる構造がある。いずれのモデルも「フラグの奪取」というゴールを追っており、認証情報はそこへの最短経路に過ぎなかった。
逆説的だが、最もわかりやすい証拠は「認証情報が機能しなかったケース」だ。有効なAWSキーがHugging Faceのクラウド資産にマッピングされていたが、変更権限がなく何もできなかった。データベース認証情報は承認されていないソースからのアクセスとして拒否された。アイデンティティが被害範囲を決定した——停止した場所も含めて。
被害を受けた組織が実施した対策
Hugging Faceの対応は具体的で参考になる。
- インスタンスメタデータサービス（IMDS）へのPodレベルのアクセスをブロック。コード実行がノード認証情報に昇格できないようにした
- インフラが使用するすべてのトークン・認証情報をローテーション（エージェントが到達しなかったクラスターも含む）
- クラスター横断で共有されていた
cluster-admin権限の単一コネクタ認証情報を廃止し、クラスター単位の分離に移行 - 「予期しないオリジンからのトークン使用をフラグするツール」の導入——これが最も再利用価値の高い変更だとToken Securityは指摘する
AISIはオペレーター側として並行した結論に達した。評価環境への細粒度のネットワーク制御を実装し、インターネットアクセスをデフォルトではなく「能動的に正当化が必要な決定」として扱う方針に転換した。AISIの言葉がそのまま教訓になる：「適切な隔離は、モデルが境界をテストしないことに依存すべきではない。」
結論：ガードレールは1層に過ぎない
Anthropicの評価では、プロンプトまたは設定上でインターネットアクセスを制限していたにもかかわらず（元記事では具体的な実装レベルの記述がある）、設定ミスで疎通可能な状態になっていた。OpenAIは生のケイパビリティを計測するために本番の分類器を無効化した。ガードレールは依然として意味があるが、それだけに依存するのは危険だ。
隔離、認証情報の衛生管理、最小権限、ネットワーク境界、モニタリング、アイデンティティ脅威検出——これらを組み合わせて、1つの前提条件の失敗が本番環境到達につながらない設計が必要だ。エージェントが何千ものパスを試みる中で、防御側は機能する1つのシーケンスを見つけなければならない。Hugging Faceが再構成した約17,600アクションのほとんどは無害だったが、成功したパスはそのノイズの中に隠れていた。
詳細はAI Agents on the Loose: Credentials Set the Blast Radiusを参照していただきたい。
