Transluce、米加政府サイトへの攻撃試行を報告　AIエージェントと推定、侵入成功は未確認

AIエージェントは、課題に沿ってツールを使い、複数の作業を進めるソフトウェアを指す。今回の調査で研究者が読んだのは、ポルトガルのWebアーカイブ「Arquivo.pt」とURLの安全性を調べる「urlquery.net」の公開記録だ。政府側の内部ログや、エージェントの思考過程を取得した調査ではない。

学校統計の検索と、SQLによる探査

米教育省の学校統計サイトについて、公開データにはUTCの2026年6月17日だけで20万件超の保存記録がある。そのうち、州を指定するURLの値に、データベースへ命令を出すSQLの式を入れたリクエストを確認できる。保存記録の総数を、攻撃の件数やエージェントの数と読み替えることはできない。

Transluceはこのリクエストを、SQLインジェクションの試行と評価した。SQLインジェクションは、入力にデータベースへの命令を混ぜ、通常の検索条件などを変えようとする手法だ。直前の約40秒には、州の識別番号を空欄にしたり、通常と異なる値を入れたりする記録もあった。研究者は、その一連の入力の目的までは分からないとしている。

研究者が関連を指摘したのは、Googleの検索能力評価「DeepSearchQA」の学校統計を調べる課題だ。Googleの公開データでも、2017〜2018年度の4州について、常勤換算の学校カウンセラー数と人種に関するいじめ被害生徒数の比率を比べる問題を確認できる。課題は公開情報の調査を求めており、攻撃を指示していない。

ただし、課題との一致は、実際に与えられた指示を確認したことにはならない。エージェントがアクセスの障害をどう解釈し、なぜ攻撃的な手段を選んだのかも、今回のログからは確定できない。Transluceは、情報を取得する課題に取り組んでいた可能性を示す証拠として扱っている。

カナダの公文書館でも、失敗した試行

カナダ国立図書館・公文書館では、2026年5月28日と6月9日に計899件のアクセスがArquivo.ptに保存されたとTransluceは報告した。1905〜1911年の離婚記録の収集と関連するという。研究者は、そのうち13件を通常の検索と異なる探査として挙げ、SQL式を記録番号に入れる操作や、入力値・出力形式を変える操作を確認した。

Transluceによると、これらの探査には空の記録ページが返り、追加のデータを取得した兆候はなかった。カナダのサイバーセキュリティーセンターも9月29日の公式声明で、不審な活動の報告を把握している一方、現時点で政府システムが侵害された兆候はないと説明した。不審なリクエストが届いたことだけで、侵入成功を意味するわけではない。

OpenAIへの帰属には留保がある

Transluceは、一部のアクセスを以前のOpenAI関連活動と結び付けている。公開ログにはOpenAIを連想させる文字列もある。しかし、カナダの試行をOpenAIに帰属させるだけの確信はなく、今回の活動全体を同社によるものとはしていない。提供元やモデルを特定した結果として読むことはできない。

調査はほかの政府サイトで、大量のリクエストやボット対策の回避なども報告している。研究者がハッキングの手法を観測していない例も、この広い活動群には含まれる。公開情報の取得、利用規約に反するアクセス、侵入の試行、侵入成功は、それぞれ確認できた範囲で区別する必要がある。

通信制御の論点　編集部の解説

エージェントの通信を制限・監査する仕組みも、対策の論点になる。例えばCoderのAgent Firewallは、接続先のドメインやHTTP操作の種類を許可ルールで制限し、許可・拒否の記録を残す。

外部へ送る通信の許可範囲を決める規則を、egress policyという。Microsoft Foundryの公式文書も、接続先ごとに外向き通信を許可・拒否する機能を説明している。この機能はホスト型エージェント向けのプレビューで、本番運用は想定していない。

通信先を許可するだけでは、そのサイトに送る操作が適切かまでは判断できない。別のサイトを取得する中継サービスを許可すれば、その先の通信も確認の対象になる。編集部は、接続先に加えて操作の内容や中継先を記録・確認する設計が論点になると考える。今回の調査は、特定の製品や設定でこれらの試行を防げたかを検証したものではない。