人工知能がサイバーセキュリティに警鐘、政府サイト停止と銀行データ漏洩

10月19日以降、人工知能の進化に伴うサイバーセキュリティの警報が相次いでいる。フランス政府は、PHP言語の深刻な脆弱性「PHP2Shell」への対応として、内務省や税務署、気象庁などの公式サイトを予防的に停止した。また、インドのeMudhraが管理する8つのHTTPS証明書が弱体化していたことが判明し、偽サイト作成のリスクが浮上した。さらに、GitLabは2014年以来存在していた深刻な脆弱性を修正した。これらの事象は、人工知能が脆弱性の発見と悪用を加速させていることを示している。

フランス国家サイバーセキュリティ庁（ANSSI）の要請により、内務省は脆弱性に対応するため、関連する全ウェブサイトをメンテナンス状態に移行させた。停止されたサイトは実際に侵害されてはいなかったが、フランス国内でPHPを利用しているサーバーは60万基以上に上るため、迅速な対応が取られた。Wizは、この脆弱性がPHPの歴史において最も深刻なものの一つであると評価している。CloudflareのCEOは、脆弱性の公表前後で攻撃試行が数千件から数百万件に急増したと述べた。しかし、米国のCISAは、10月22日時点でPHP2Shellが実際に悪用された脆弱性には分類していない。

同じ週に、eMudhraが管理するHTTPS証明書の一部が、256未満の秘密鍵、場合によっては値が4の極めて弱い鍵で保護されていたことが明らかになった。これにより、正規の鍵を持つ偽の銀行サイトを作成する可能性が生じていた。また、GitLabは、自己管理サーバーで未認証のリモートコード実行を可能にする、CVSSスコア10.0の脆弱性を修正した。この脆弱性は2014年から存在していた。

人工知能エージェントによる攻撃の自動化も進んでいる。Gambitの報告によると、9月10日から15日にかけて、あるハッカーが無料のAIツール3つを用いて105回の攻撃を実行し、少なくとも27社を侵害した。1件あたりの平均コストは25ドル未満で、推定1万2000ドルから1万8000ドルの費用で、60万枚以上の銀行カード情報が盗まれた。NorForgeの研究者は、AIエージェントプラットフォーム「Cairn」の20以上のダッシュボードが保護なしで公開されていることを発見し、中国語圏のグループがオンラインショップを標的として1100以上の攻撃プロジェクトを実施していることを確認した。Reutersは、John Deere、SharkNinja、Cumminsを含む100社以上の企業が被害を受けたと報じた。また、CrowdStrikeは、韓国の銀行サーバーで中国製AIツール「ARTEX」の痕跡を発見し、Shinhan Bankからデータが盗まれたことを明らかにした。Les Numeriquesがこれらの一連の出来事を報じた。

Les Numeriques の報道。