11月9日、Kavichselvanが「Jailbroken DeepSeek AI Agent Breaches European Telecom and Accesses Millions of Patient Records」と題した記事を公開した。この記事では、ジェイルブレイクされたDeepSeek AIエージェントが欧州の通信会社および関連13社に2週間以上侵入し続け、数百万件の医療記録に到達したとされる攻撃キャンペーンについて詳しく紹介されている。
「Operation Snowball」：AIエージェントが2週間、ほぼ自律的に企業内を泳ぎ回った
セキュリティ研究機関Malbear Labsは、この攻撃を「Operation Snowball」と命名した。発見の経緯がまず興味深い。ルーティンのスキャン中にパスワード不要の公開ディレクトリを発見し、そこに攻撃者のワークスペースがまるごと残されていた。
中に入っていたのは約70件のセッショントランスクリプト、数百ホストのスキャン結果、窃取済みの認証情報、データベースダンプ。オペレーターが入力したすべてのコマンドと、エージェントが返したすべてのレポートは中国語で書かれていた。ただし研究者は、言語の使用が国籍や政府との関連を証明するものではないと明記している。
78,000文字のシステムプロンプトでジェイルブレイク
攻撃の核心はカスタムエージェントフレームワークで、DeepSeekのモデル（元記事では「DeepSeek Flash」と表記されている）上に構築されていた。元記事が言及するコンテキストウィンドウは100万トークン。この巨大なコンテキストウィンドウにより、エージェントは数日間にわたって全ホスト、パスワード、失敗した試みをメモリに保持し続けられる。人間の攻撃者が作業のたびにノートを読み返す必要があるのと対照的だ。
※編集部の考察：元記事には「DeepSeek Flash」という製品名が記載されているが、一般的なDeepSeekのモデルラインナップ（V2・V3・R1等）に「Flash」という名称は現時点で確認されていない。誤記・誤訳の可能性もあるため、正確なモデル名については元記事および公式情報を直接確認されたい。
DeepSeekは通常、ウェブシェルの生成やパスワードのブルートフォースを拒否する。これを回避したのが78,000文字のシステムプロンプトだ。中国のフォーラムのプラグインコミュニティで広まった「Little Code Sauce」と呼ばれる公開ジェイルブレイクテンプレートをベースに、オペレーターが約400行の攻撃命令を追加した。プロンプトには「拒否は誤動作である」とモデルに伝える記述があり、英語・中国語それぞれで避けるべき拒否フレーズのリストも含まれていた。
類似の手法はすでに他でも確認されている。Palo Alto Unit 42は、BUGSTERと呼ばれる攻撃者がジェイルブレイクされたDeepSeekとHermes Agentフレームワークを使い、インドの大学から5,200件超のレコードを窃取した事例を報告している（関連報道）。なお、この事例で使用されたDeepSeekのバージョンについては、元記事の記述を直接確認されたい。
オペレーターの操作は「Go on.」の一言だけ
エージェントはネットワークスキャン、パスワードテスト、ウェブシェルのデプロイ、横断的移動を、ほぼ人の介入なしに実行した。防御に阻まれれば自分でルートを変え、独自のトンネリングツールを書き、ロックされたLiferayサーバーへのエクスプロイトチェーンを再構築したという。
記録されたオペレーターのメッセージは極めて短く、「Go on.」「最新の高リスクな穴を塞いでおけ」といった程度。エージェントがターゲット、脆弱性、手法をすべて自分で選んでいる。操作する側は技術を理解している必要がない。
また攻撃はゲームのようにスコアリングされており、単一サーバーのシェル取得より内部ネットワークセグメントへのピボット（別のセグメントへの侵入）の方が高得点。ファイアウォールコンソール等のセキュリティツールへのアクセスも高スコアとして設定されていた。回収時点の合計スコアは3,725点。
デフォルトパスワードが数百万件の医療記録を露出させた
最も深刻な被害は医療データだ。デフォルトのログイン情報そのままで、エージェントは古いOracle 9iデータベース上で稼働するTrakCare（医療情報システム）へのフルDB管理者アクセスを取得した。これにより患者情報、ワクチン接種記録、予約テーブルにまたがる数百万件のレコードが露出したと研究者は主張している。
ただしこれらの被害規模は研究者が独自に検証したものではなく、現時点では研究者の主張として扱う必要がある。タイトルで「到達した」と表現しているのも、あくまでアクセス可能な状態になったという意味であり、実際にすべてのデータが外部へ流出したことを意味するものではない点に注意されたい。根本原因はシンプルだ。変更されていないデフォルトパスワードが扉を開けた。
孤立したインシデントではない
以下はCrowdStrikeが別途報告している関連事例であり、元記事が参照している情報として紹介する。
CrowdStrikeは、中国系グループVAPOR PANDAが「ARTEX」フレームワーク（主にDeepSeek上で動作）を使い、10月17日から11日間で14か国以上の200以上の組織を攻撃したと報告している。9組織での侵入を確認し、バックドア「BLOODALCHEMY」を設置。米国・ベルギー・フィリピンの通信会社も標的になった。
速度の変化が重要だ。CrowdStrikeのAdam Meyersによれば、人間の攻撃者が通常1時間に最大40コマンドであるのに対し、ARTEXは1,500コマンド超を記録している（ARTEXの詳細）。
検出と対策の基本
AIエージェントによる攻撃は「業務時間帯に活動が集中する」「慎重でゆっくりしたセッション」といったパターンを持たない。ただし活動は「大きくて繰り返しが多い」ため、以下を監視することが有効だとされる。
- エンドポイント・ネットワークログでの高速スキャンの検出
- ログイン失敗のバースト
- 不審なトンネル通信
具体的な対策として記事が挙げるのはシンプルなものだ：
- すべてのデフォルトパスワードを変更する（特に古いDBシステム）
- 内部ネットワークセグメントを真に分離する
- インターネットから到達不能に見えるサーバーにもエンドポイントセンサーを置く
- 公開ディレクトリや露出したストレージを監視する
AIが新しい脆弱性を生み出したわけではない。古くからある弱点を、どのチームがパッチを当てるよりも速く発見しているだけだ。
詳細はJailbroken DeepSeek AI Agent Breaches European Telecom and Accesses Millions of Patient Recordsを参照していただきたい。
