国内サイトへのAIエージェント攻撃を観測、約8時間で10段階に変化
セキュリティAIエージェントWAF日本Scutum
クラウド型WAF「Scutum」を提供するビットフォレストが2026年10月14日、国内企業サイトへのAIエージェントによる攻撃を観測したと技術ブログで公表した。10月10日夜から14日までに少なくとも3つのIPを確認。最大のものは約7時間46分で約12,450リクエスト、10段階にわたりツールを切り替えていた。
何が発表されたか
- Scutum開発者の金床（Kanatoko）氏が2026年10月14日、AIエージェントによるウェブサイト攻撃の注意喚起を公開した。2026年9月頃からウェブアプリでの情報漏洩報告が相次いでいる状況が背景にある。
- Scutumは10月10日夜から、攻撃元がAIエージェントかを判定する仕組みで監視を開始。14日までに少なくとも3つのIPから日本の企業サイトへの攻撃を確認した。
- 観測された3件の内訳:
38.54.56.121：約1,000リクエスト。/.gitや/adminの存在確認による404中心の大量スキャンのみで、段階的な変化なし。185.196.220.130：約2時間23分、約1,440リクエスト。スキャン → Rangeヘッダ付きアクセス → 網羅スキャン → SQLインジェクション → 問い合わせフォームへの連投と5段階に変化。192.236.229.229：約7時間46分、約12,450リクエスト。毎秒約35件の高速スキャン、既知脆弱性への攻撃、Nmap、ログイン総当たり、ヘッドレスブラウザによるフォームアクセスなど10段階。
- 3件は手法が異なり、別の攻撃主体の可能性があるとされる。被害の大きい「A2B攻撃」で見られたスマホアプリ風User-Agentは、今回の3IPでは確認されなかった。
- 検知の具体的手法は、対策されるおそれがあるため非公開。curlやsqlmap、自作コードで攻撃しつつサーバ応答を読んで次の行動を修正する点に着目した仕組みで、開発環境では最新の高性能モデル8種すべてで検出できたとしている。誤検知はほぼないとされる。
実務への影響
- 推奨される対策は「攻撃者がAIエージェントを使うかどうかで基本は変わらない」。バックエンドAPIを含めた既知脆弱性の解消が最優先で、シグネチャ一致だけに頼らない分類性能の高いWAFの導入が有効とされる。
- 問い合わせフォームへの連投とログイン総当たりが共通して現れている。保守案件では、フォームのレート制限、ログイン試行回数の制限と監視を優先度の高い項目として提案したい。
/.gitや/adminの存在確認スキャンが初手に来る。公開ディレクトリに.gitや管理画面を素置きしていないかの点検は、既存サイト全件で一度かけるだけの価値がある。- 攻撃が「段階的に変化する」性質は、単発パターンの遮断では追いつかないことを意味する。アクセスログを時系列で見る運用に切り替える根拠になる。
補足
記事は、観測されたIPが正規の通信に使われている可能性にも注意を促している。