クラウド型WAF「Scutum」を提供するビットフォレストは10月14日、同社のWAFで保護している国内のWebサイトに対し、AIエージェントによるものと同社が判断した攻撃を観測したと技術ブログで公表した。10月10日夜から14日にかけて3つのIPアドレスからの攻撃を確認し、このうち1つは約8時間で約1万2,450件のリクエストを送り、偵察から既知の脆弱性の悪用、ログインの総当たりまでを段階的に進めていた。
事案の詳細
同社は、AIエージェントによるアクセスを識別するためにWAFの応答の仕方に手を加えており、最新のAIモデル8種で検証したところ、すべてを検知できたとしている。識別の具体的な方法は公表しておらず、検知漏れの可能性もあると説明している。
観測された3つのIPアドレスは、それぞれ別の攻撃者による可能性があるという。ブログに掲載された内訳から集計すると、各IPの規模はおおむね次の通り。
- IP①：約1,000件。スキャンのみ
- IP②：約1,440件。XSSやSQLインジェクションの試行、問い合わせフォームへのスパム送信など5段階
- IP③：8時間弱で約1万2,450件。10段階に分かれた攻撃
IP③の攻撃は、少数のリクエストによる低速スキャン（約50件）から始まり、毎分約2,100件の高速スキャン（約1万件）、第2波のスキャン（約1,200件）、既知の脆弱性を狙う攻撃（約850件）、Nmapによる調査、フォームへの攻撃、WebLogicを狙った攻撃、ログイン画面への総当たり（約250件）などへと移っていった。人間の攻撃者が手作業で進めるような流れを、短時間で自動的に実行していた点が特徴とされる。
使われたツールは、curl、sqlmap、ffuf、python-requests、Nmapのスクリプト（NSE）、ヘッドレスブラウザなど。User-Agentは約35種類を切り替えていた。狙われたのは、管理画面、.gitや.env、バックアップファイル、phpMyAdmin、ログイン・会員登録・パスワード再設定のフォーム、WordPress、SharePoint、Apache Struts、WebLogic、GraphQL、F5 BIG-IPなど、広く知られた製品や設定不備の典型的な入口だった。
影響と背景
同社によると、今回観測した攻撃で使われた手法そのものは、従来の攻撃と大きく変わらない。違いは、偵察・攻撃・方針の切り替えといった一連の作業を、AIエージェントが短時間で大量に進められる点にある。攻撃側の手間が下がることで、これまで「狙われにくい」と考えられてきた中小規模のサイトにも、同じ水準の攻撃が届きやすくなるとみられる。
国内では、ほかにもAIを使ったとみられる攻撃の報告が出ている。TechTargetジャパンによると、サイバーセキュリティクラウドも326のIPアドレスから1,200件超のアクセスを観測しており、SQLインジェクションで認証を回避したうえで、正規のアカウントでログインしてポイントを不正に取得する流れが確認されたという。AIが攻撃と防御の両面に入り込みつつある状況は「攻撃にも防御にも偽情報にも――AIが顔を出し始めたセキュリティの現場」で整理している。
なお、スマートフォンアプリを装うUser-Agentは今回確認されなかったとしており、公開アプリを起点にバックエンドを狙う、NICTが注意喚起した「A2B攻撃」（解説コラム）とは異なるタイプの攻撃とみられる。
対策・今後の展望
ビットフォレストは、AIエージェントによる攻撃であっても、取るべき対策は基本的に変わらないとしている。
- 脆弱性をなくす：公開しているWebアプリだけでなく、その裏側のAPIも含めて脆弱性診断を行い、見つかった問題を修正する。
- シグネチャだけに頼らないWAFを使う：既知の攻撃パターンとの照合だけでは、組み合わせや順序を変えてくる攻撃を見逃すおそれがある。
- 公開すべきでないファイルを置かない：
.git、.env、バックアップファイル、使っていない管理画面などは、今回も真っ先に探されていた。
同社は、具体的な対策の参考として、セキュアスカイ・テクノロジーが公開している実践ガイドも紹介している。企業が見直すべき対策の全体像は「情報漏洩ラッシュで企業が今すぐ見直すべき7つのセキュリティ対策」も参照してほしい。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが行っている外部攻撃面（ASM）の調査や脆弱性診断でも、.envやバックアップファイルの公開、更新が止まったWordPressのプラグイン、使われなくなった管理画面がそのまま残っている例は珍しくありません。これまでは「誰かに見つかるまで時間がかかる」問題でしたが、AIエージェントが一晩で数万件の確認を行えるなら、その猶予はほぼなくなります。
【平易な解説】泥棒の手口そのものは変わっていませんが、一軒ずつ手作業で戸締まりを確かめていた泥棒が、何百軒も同時に、休まず確かめられるロボットを手に入れたような状況です。鍵をかけ忘れた窓がひとつでもあれば、以前よりずっと早く見つかります。
【今週中にできること】自社のWebサイトで、/.git/、/.env、/backupなどが外部から見えないかを確認してください。あわせて、WordPressのコアとプラグインを最新にし、ログイン画面には多要素認証かアクセス元制限を設定します。WAFを導入している場合は、短時間の大量アクセスを検知・遮断する設定が有効になっているか、ログを一度確認してみてください。
参照: Scutum WAF Tech Blog（ビットフォレスト、2026年10月14日） ／ ITmedia AI＋ ／ TechTargetジャパン ／ NHK