11月6日、IBTimes SGが「Microsoft Finds AI Agents Turning GitHub Secret Leaks Into Cloud Breaches in Just 5 Minutes」と題した記事を公開した。GitHubに漏洩したAPIキーが、AIエージェントによってわずか5分以内にクラウド侵害へと転化される——Microsoftがそう警告する新たな攻撃手法の実態を伝えている。インシデント対応や脆弱性パッチ適用の標準的なタイムラインが数時間〜数日単位であることを踏まえれば、この「5分」という数字がいかに現実的な脅威を意味するかが見えてくる。
AIエージェントが取り除いた「時間的ボトルネック」
Microsoftが公表した脅威インテリジェンスレポートによると、攻撃者はARTEXと呼ばれるAIエージェント型の攻撃フレームワーク（元記事がMicrosoftのレポートを引用して言及している名称）を使い、公開GitHubリポジトリからパスワード、アプリケーションシークレット、AIサービスのAPIキーを大量スキャンし、取得した認証情報でクラウド環境へ侵入している。
最も端的な事例として報告されているのが、「GitHubでの秘密情報検索開始からAzure Key Vaultのデータ窃取完了まで5分」という一連の攻撃だ。従来、リポジトリの特定・内容確認・認証情報の悪用には人手がかかり時間的制約があったが、AIエージェントはそのボトルネックを取り除いた。
Microsoftがこの活動を観測し始めたのは2026年8月。攻撃者はARTEXを使い、ターゲット組織名とクラウドサービス・認証情報に関連するキーワードを組み合わせた検索クエリをGitHubへ大量投入する手口を用いていた。
"Agentic tooling like ARTEX allows threat actors to not only scan for secrets across multiple repositories at a quicker pace but also use the agents to analyze the output and conduct follow-on attacks, cutting down on the need for the threat actor to have hands-on-keyboard interactions throughout the attack chain."
要するに、攻撃者がキーボードを操作し続ける必要がない。エージェントが自律的にスキャン・分析・後続攻撃まで実行する。
GitHubへの認証情報漏洩自体はかねてから深刻な問題として認識されており、GitHubはSecret ScanningやPush Protectionといった対策機能を整備してきた。しかしAIエージェントの登場により、漏洩から悪用までの時間が人間の対応速度を大幅に下回るフェーズに入った。過去にも大規模なGitHubシークレット漏洩インシデントは繰り返されてきたが、今回Microsoftが強調するのは「スピードの次元が変わった」という点だ。
侵害後に何が起きたか
取得したクレデンシャルを使った後続攻撃の詳細も報告されている。
Microsoftは10月28日以降、IPアドレス 199.19.77[.]84 からの複数アプリケーションID・複数顧客環境にまたがるサービスプリンシパルへのサインインを確認した。マルチテナントアプリケーションのクレデンシャルがベンダーレベルで侵害された場合、その下流にある複数の顧客テナントへのアクセスに悪用されるケースもあった。
攻撃者が標的としたリソースは以下の通りだ：
- Azure Key Vault（シークレット管理）
- Storage Account
- App Service の設定・接続文字列
- Kubernetes クレデンシャル
- AI・機械学習接続情報
- SharePoint・OneDrive（ファイルダウンロード、メールボックスアクセスを含む）
さらに、Azure の Run Command 機能を使い仮想マシン上でスクリプトを実行し、保護されていないクレデンシャルへのアクセスやワークロードIDの奪取も試みられた。
別のIPアドレス 65.87.223[.]26 からは脆弱性エクスプロイトとApp Service認証トークン取得の試み、157.22.126[.]128 からはAzure AIワークロードへの偵察活動も確認されている。
「削除しても無意味」──Microsoftの警告
開発者にとって特に重要な指摘が、クレデンシャルを削除するだけでは不十分という点だ。
"Publicly exposed credentials remain usable until revoked or rotated; removing the original disclosure alone does not remediate the exposure."
Gitのリポジトリ履歴・キャッシュ・外部コピーにシークレットが残存するため、ソースから削除しても攻撃者が保持したコピーは使い続けられる。AIエージェントが大量リポジトリを即座にスキャンする現状では、プッシュされた瞬間に取得済みである可能性も否定できない。
Microsoftが推奨する対応は以下の通りだ：
- 露出したクレデンシャルは即座にrevokeまたはローテーションする
- 過去の使用履歴を確認する
- サービスプリンシパルへの最小権限アクセスを徹底する
- OAuthアプリケーションをシークレット不要の**マネージドID**へ移行する
- GitHub Secret Scanning を有効化し、Push Protection でコミット前に検出する
- Microsoft Defender for Cloud の関連保護を展開する
検出面では、AIエージェントがIPアドレスやUser-Agent文字列を素早く切り替えるため、従来のシグネチャベースの検出が難しい。Microsoftは、急速なAPIリクエストパターンや繰り返しの認証試行を監視すること、加えてハニーポット・デコイ・タープットの活用を推奨している。タープット（Tarpot）とは、攻撃者を正規システムから引き離すために意図的に応答を遅延させるおとり環境のことで、自動化ツールの動作を妨害し攻撃チェーンを遅延させる効果がある。
開発者が今すぐ確認すべきこと
「5分」という攻撃完了時間は、個人開発者・スタートアップから大企業まで、GitHubを利用するすべての開発者に刺さる数字だ。シークレットを誤ってコミットした経験のある開発者は多いが、「すぐ気づいて削除したから大丈夫」という認識はもはや通用しない。
AIエージェントによる攻撃の自動化は、これまで「気づいてから対応する」という事後対処モデルの前提を崩しつつある。Push Protectionの有効化やマネージドIDへの移行といった予防的な構造改善が、今後ますます重要になる。
詳細はMicrosoft Finds AI Agents Turning GitHub Secret Leaks Into Cloud Breaches in Just 5 Minutesを参照していただきたい。
