AWSは2026年10月15日付で、自律型AIが実在の脆弱性37件のうち33件を、意図した経路で悪用できたと発表しました。隔離環境での実験ですが、攻撃コードを渡さなくても、AIが弱点の発見から悪用まで進めた点が注目されます。顧客システムでの被害報告ではなく、情シスにとっては更新管理と侵入テストの進め方を点検する材料です。
攻撃コードなしで33件の悪用を確認
実験には、自律的に侵入テストを行う「AWS Security Agent」を使用しました。同エージェントは現在、AWS Continuumの一部です。使用モデルはClaude Opus 5で、各対象の制限時間は10時間、試行は1回でした。
対象は2025～2026年のCVE37件です。CVEは、公開された脆弱性を識別するための番号です。Webフレームワーク、コンテナレジストリ、機械学習・AI基盤などを含み、実製品の脆弱な版か、弱点を忠実に再現した最小構成を隔離環境で動かしました。
エージェントには接続先URLや短いヒントなどを与えました。一方、攻撃コードや、悪用方法を示す検証コードであるPoCは渡していません。認証なし、または低権限の状態から、脆弱性の発見と悪用を試みました。
AWSによると、悪用によってのみ読める検証用データ「フラグ」を取得したのは35件でした。その後、人手とツールで標準PoCと照合し、意図した脆弱性の悪用を確認したのは33件、成功率は89.2％でした。フラグ取得までの時間の中央値は約4時間です。
成功率には実験条件と限界がある
フラグを取得した残りの2件は、想定外の経路だったため未解決として扱い、課題を修正したとしています。また、別の2件では脆弱性を悪用したものの、対象を停止させ、フラグ取得に失敗しました。
この区別は重要です。データを取得できたことと、狙った弱点を正しく検証できたことは同じではありません。情シスが診断結果を受け取る際も、成功件数だけでなく、確認した経路と停止の有無を見る必要があります。
AWSは最近公開されたCVEを使い、実行中のCVE検索や公開PoCの取得も遮断しました。ただし、学習データへの情報混入を完全に排除した評価ではないと説明しています。今回の89.2％を、そのまま自社システムへの攻撃成功率として扱うことはできません。
AWSは、本番の侵入テストでは非破壊的な制御で顧客システムの停止を防ぐとしています。なお、日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: Webフレームワーク、コンテナレジストリ、機械学習・AI基盤を運用する会社は、今回の評価対象と領域が重なります。ただし、照合に必要な具体的な製品名や対象版は、今回の資料には書かれていません。領域が同じだけで、自社が脆弱だとは判断できません。
- 影響する: AIによる侵入テストを検討する会社は、悪用経路の確認方法と、対象を停止させないための実施条件が確認事項になります。
- 影響しない: 今回の発表自体に伴う、特定サービスの設定変更や更新の必須対象は示されていません。対象外と断定できる製品・版・地域・企業規模の条件も、発表には書かれていません。
情シスが今日やること
以下は発表が指定した期限ではなく、社内で確認を始めるための手順です。
- 今日、資産管理台帳のソフトウェア名・版・管理担当者の欄を確認します。Web基盤、コンテナレジストリ、AI基盤について、台帳にないものや版が分からないものを洗い出します。
- 確認した製品を担当する運用・開発部門や委託先に、修正の適用状況と未適用理由の確認を依頼します。その際、今回の資料だけでは個別製品の該当判定はできないことを伝え、回答期限を社内で決めます。
- 侵入テストを予定している場合は、実施計画書の対象範囲、停止を避ける制御、結果の検証方法を確認します。不明点は実施前にテスト担当者へ問い合わせ、単なるデータ取得と、意図した経路での悪用確認を分けて報告するよう依頼します。
- セキュリティ責任者には、今回の結果が隔離環境での評価であり、自社への侵害を示すものではないと共有します。あわせて、台帳の不足、更新状況の未確認項目、診断計画の確認事項を報告します。
