Anthropicは、未公開のAIモデルを使ったセキュリティー検証で、ChromeやSafari、Android、Windows、Linuxを対象とする5種類の攻撃手法を発見したと明らかにしました。AIが複数の脆弱性を組み合わせ、実際に動作する攻撃コードをほぼ自律的に構築したとしています。検証では、ロックされたAndroidスマートフォンから写真などのデータを抽出する手法や、Chromeのサンドボックスを突破する手法も確認されました。
Anthropicによると、これらは管理された環境で実施した実証実験であり、発見した脆弱性はすべて関係各社に報告され、修正済みです。また、今回の攻撃手法が実際のサイバー攻撃で悪用された証拠は確認されていないとしています。
Chromeの脆弱性を4つ組み合わせて防御を突破
AnthropicのFrontier Red Teamによると、未公開のAIモデルは、最初に与えられた指示をもとに、人間による支援をほとんど受けずに5種類の攻撃チェーンを構築しました。ただし、モデルの名称や提供予定時期、人間の研究者が各段階でどの程度関与したのかについては、詳細を明らかにしていません。
Chromeを対象とした検証では、4つの脆弱性を組み合わせ、ブラウザーのサンドボックスを突破して外部でコードを実行する攻撃手法を開発しました。
実証では、悪意のあるWebページを読み込んだ数秒後に、Mac上で電卓アプリが起動しました。ページを開いた後にユーザーが追加操作をする必要はなかったとされています。
サンドボックスは、Webページなどで動作するコードが端末全体に影響を及ぼすことを防ぐための重要なセキュリティー機構です。今回の事例は、個々の脆弱性が単独では限定的な影響しか持たなくても、複数を連鎖させることで防御を突破できる可能性を示しています。
ロック中のAndroidから写真などを抽出
Androidを対象とした検証では、ロックされたスマートフォンから写真などのデータを取り出せる攻撃手法も確認されました。
ただし、この攻撃にはUSB経由で端末に物理的にアクセスする必要があり、遠隔からロック中のスマートフォンを自由に操作できるというものではありません。必要な条件や攻撃対象となる端末の範囲など、詳細も限定的にしか公表されていません。
Safariに対しては、異なるWebサイト間でデータにアクセスできないようにするセキュリティー制限を回避する手法を開発しました。これが悪用された場合、ユーザーがログインしているWebサイトの情報が漏えいする可能性があったとしています。
Linuxではネットワーク経由で管理者権限を取得
WindowsとLinuxを対象とした検証でも、異なる種類の攻撃が成立しました。
Windowsでは、HTTP/3リクエストを受け付けるサーバーを繰り返しクラッシュさせる手法が確認されました。一方、保存されたデータの窃取や任意のコード実行には至らなかったとしています。
Linuxでは、さらに深刻な攻撃が実証されました。特定のネットワーク設定を満たすサーバーに対して、ログインやユーザーによる操作を必要とせず、ネットワーク経由で管理者権限を取得できたといいます。ただし、特定の構成を前提とするため、すべてのLinuxシステムに対して成立するわけではありません。
AIによる脆弱性発見の進歩と新たなリスク
Anthropicは今回の検証を、AIが脆弱性を発見するだけでなく、それらを組み合わせて実際に機能する攻撃手法を構築できることを示す事例として紹介しています。こうした能力は、攻撃者に悪用される前に問題を発見し、修正するためにも活用できる可能性があります。
一方で、脆弱性の発見から攻撃コードの作成までをAIが効率化できるようになれば、サイバー攻撃の高度化や自動化につながる懸念もあります。
今回の結果は、あくまで管理された環境での実証であり、攻撃が実際の端末やサーバーに対して行われたことを意味するものではありません。Anthropicは脆弱性がすべて修正済みと説明していますが、AIが複数の欠陥を連鎖させる能力を示したことは、今後のセキュリティー対策にとって重要な課題となりそうです。
