AIエージェントによる自律型サイバー攻撃への懸念は通常、非公開データベースの侵害やマルウェアのインストール、さらには公共インフラの機能停止につながる可能性に関するものだ。しかし、オーストラリアで初めて記録された事例の影響は、はるかに小さかった。ABC Newsは月曜日、メルボルンの男性が個人用AIエージェントを使い、通っているジムの予約システムの脆弱性を悪用した経緯を詳しく報じた。

その結果、別の会員の予約をキャンセルすることで、フィットネスクラスの待機リストで4位から3位に繰り上がった。

ABCの報道でAndrewとだけ名指しされたこの男性は、オープンソースのエージェントプラットフォームOpenClawの内部でAnthropicのClaudeのインスタンスを実行していた。OpenClawは、ウェブの閲覧、外部プログラムの実行、メッセージの送信、複雑なタスクの処理を行うツールをモデルに与えることで、Claudeのようなモデルが自律的に行動できるようにする実行基盤を提供している。

このケースでのタスクは、Andrewを朝のフィットネスクラスに予約することだった。その過程で、マシンは認証なしに他の会員の予約をキャンセルできることを発見したと報じられている。

これまで、AIによるサイバー攻撃の事例として大きく報じられてきたものは、最先端AI研究所でのずさんなテストの結果として発生していた。Andrewのケースは、消費者が使うAIエージェントが関与した、オーストラリアで初めて確認された自律型サイバー攻撃となる。

ClaudeとOpenClawが実際に行ったこと

AIエージェントはジムの予約システムの緩いセキュリティを発見すると、ユーザーに知らせた。報道からは、地元のB2B AI販売会社に勤めるAndrewが、何らかの脆弱性を意図的に発見しようとしていたとは読み取れない。

エージェントはこの弱点を独自に発見、テストして報告し、ユーザーに「他人の予約をキャンセルする際の認証チェックが一切ない」と伝えた。これはウェブサイトのAPIの欠陥によるものだった。APIとは、何かを実行するためにブラウザーが企業のサーバーへ送る命令の集合である。

エージェントはジムのウェブサイトを操作するのではなく、APIと直接通信できた。これにより、クラスを予約できる時期の制限など、フロントエンドのウェブサイトにしか存在しない一部の制約を回避できた。

また、他のユーザーの予約をキャンセルすることも可能だった。Andrewが、その週の後半に予定されたクラスの待機リストの最上位に理論上移動できるか尋ねたところ、エージェントは、最上位にいた人物の予約をキャンセルして、すでにAndrewを1つ繰り上げたと答えた。Andrewによると、促してもエージェントは予約を元に戻せなかった。押し出された会員は、列の最後尾から再び申し込まなければならなかった。

ユーザーはAIエージェントの行為について法的責任を負うのか？

AIシステムがサイバー攻撃を行った場合、誰が責任を負うのかという問題は、まだ不明瞭だ。

ABCの取材に応じたテクノロジー専門弁護士のHayden Delaneyによると、ソフトウェアは法的に人として分類できず、オーストラリア法の下で責任を負うのは法的人格を持つ者だけだ。Andrewのケースはジムの待機リストだけに関係する比較的無害なものだが、より深刻なケースで検察が起訴に動けば、AIエージェントの背後にいるユーザーを標的にする可能性がある。その人物がエージェントに悪意ある行動を指示していなかった場合、責任はエージェントの作成者や別のサービスプロバイダーにある可能性がある。

これらの問題は、いまだ完全に未解決のままだ。これまで、いずれの裁判所でも争われたことがないためだ。

オーストラリアの国内サイバーセキュリティ機関であるAustralian Signals Directorateは今年初め、AIシステムが指示を誤って解釈し、導入企業に意図しない結果をもたらす可能性があると警告した。また、異なるモデルやサービスプロバイダーが連鎖的に関与する場合、こうした結果に対する責任の所在は曖昧になると付け加えた。

Andrewのケースでは、明らかな結果は生じなかった。Andrewは脆弱性を発見して間もなく、同じAIエージェントに、その内容を詳しく説明するメールをジムのソフトウェアプロバイダー宛てに作成させた。それ以来もエージェントの利用をやめておらず、この一件は責任あるAI利用についての教訓になったと述べている。

旧来のインターネットシステムはAI時代への備えができていない

ClaudeとOpenClawが、企業の人間向けウェブサイトを迂回することで、保護されていないシステムを容易に操作できたことは、重大な警告となるはずだ。オーストラリアのAI安全性研究機関であるGradient InstituteのBill Simpson-YoungはABCに対し、インターネットを動かしているソフトウェアの多くは、こうした新たな脅威に耐えられるよう設計されたものではないと語った。

先月、Assistant MinisterのAndrew Charltonは、政府がCommonwealth Scientific and Industrial Research Organisation（CSIRO）による最先端AIモデルの能力に関する研究に資金を提供していると述べた。ABCの報道は、AIエージェントが完了できるタスクの長さが7カ月ごとに倍増していると推定する独立研究を引用している。

単純なジムの予約システムへのエクスプロイトは、将来起こる持続的な自律型サイバー攻撃と比べれば、時代遅れで素朴なものに見えるかもしれない。