2026年7月、Palo Alto NetworksのUnit 42が驚くべきレポートを公開しました。中国系の脅威アクターがDeepSeekを搭載した自律型AIエージェントを使い、人の介入なしに460以上のターゲットを攻撃したのです。
何が起きたか
攻撃者「knaithe（KnYuan）」は、オープンソースのHermes AgentフレームワークにDeepSeekを組み込み、Telegram経由で初期指示を送っただけで、あとはAIが自律的に動きました。
- 🎯 FOFAを使って標的を自動列挙
- 🔍 GitHubから公開エクスプロイト（PoC）を検索・選択
- ⚖️ 脆弱性の深刻度と攻撃可能性で優先順位付け
- ❌ 攻撃が失敗すると、別のCVEに自律的に切り替え
- 🌐 7つのCVE、10の製品ファミリーを横断探索
つまり、「Go」という指示だけで、あとはAIが全部判断したということです。
技術的に何がすごい（そして怖い）のか
1. 自律的な意思決定
最初のLangflow攻撃（CVE-2026-33017）が失敗すると、エージェントは自ら10製品を調査 → n8nの脆弱性チェーンを選択 → 25,209システム中約100をサンプリング → 約40をプローブ。この「失敗 → 再検討 → 別の攻撃対象へピボット」というループが、人間の指示なしで実行されました。
2. ツールチェーンの統合
DeepSeekをメインの推論モデルとして使い、Claude CodeやQwen Code、Codexも評価。複数のLLMを使い分ける戦略を自主的に採用していました。
3. コストがほぼゼロ
DeepSeekはAPI利用コストが極めて安価。460のターゲットをスキャンし、複数のCVEを試すような大規模キャンペーンでも、数十ドル以下で実行可能だったと推測されます。
確認された被害
- 3つの組織からデータ搾取（Citrix NetScaler CVE-2026-3055経由）
- 11のMarimoインスタンスでコード実行（CVE-2026-39987）
- 460以上のターゲットに対する攻撃試行
なお、AI自律攻撃の部分（Langflow/n8n）は設定条件の不一致で成功しませんでした。しかし、これは「AIが弱かった」のではなく「たまたま標的の設定条件に合わなかった」だけです。
🚗 自動車E&Eアーキテクチャーへの示唆
ここからが本題です。この事例は、接続されたシステムを持つ全ての産業に直結します。
車載システムが次のターゲットになりうる理由
- 📱 攻撃面の拡大：OTA更新、コネクテッドサービス、V2X通信 — 車は今や「走るサーバー」
- 🤖 AI攻撃の自動化＝脆弱性スキャンの無差別化：人間がターゲットを選別する時代ではなくなる
- ⚡ 攻撃サイクルの短縮：新しいCVEが公開されてから、AIが自動的にPoCを統合して攻撃するまでの時間が劇的に短くなる
- 🏭 サプライチェーン経由の攻撃：n8nやLangflowのような開発ツールが標的になったように、車載ソフトウェアのCI/CDパイプラインもリスク対象
PL視点での考え方
攻撃者のコストが下がり続ける一方で、防守側のコストは上がり続けるという非対称性が加速しています。「人間の攻撃者を想定したセキュリティ設計」から「AIが24時間365日スキャンし続ける環境を前提にした設計」へシフトする必要があります。
- 攻撃対象となる可能性のあるインターフェースの全面的な棚卸し
- SBOM（Software Bill of Materials）の継続的更新と、新規CVEの自動マッチング
- ゼロトラスト・アーキテクチャーの車載ネットワークへの適用検討
- AIによる異常検知（防守側もAIを使う）の導入
まとめ
この事例は「AIが自律的にハッキングした」という意味で歴史的なマイルストーンです。幸い今回は被害が限定的でしたが、技術的な可行性は完全に証明されました。
DeepSeekレベルの安価なLLMとオープンソースのエージェントフレームワークの組み合わせで、エンドツーエンドの自律攻撃が実行できる。これは$0に近いコストでサイバー攻撃を無限にスケールできる未来を示しています。
防守側もAIを使わなければ、単純な処理能力の差で圧倒されます。自動車産業に限らず、「AI vs AI」のセキュリティ時代がすでに始まっています。
ソース：
・Palo Alto Networks Unit 42公式レポート（2026-07-30）
・The Hacker News（2026-07-31）
・Hermes Agent（GitHub: NousResearch/hermes-agent）