Hugging Face自律型AIエージェント侵害 | 2026年7月21日

東京セキュリティブリーフィング 2026年07月21日（火曜日）

オープニング

こんにちは。東京セキュリティブリーフィングへようこそ。本日は2026年7月21日、火曜日の配信です。今週も注目すべきセキュリティインシデントと脆弱性情報が多数報告されています。それでは本日のニュースをお送りします。

ヘッドライン

本日のトップニュースです。まず最も注目すべきは、Hugging Faceが自律型AIエージェントによる大規模セキュリティ侵害を受けたというニュースです。次に、WordPressの重大な脆弱性WP2Shellが実際に悪用されていることが確認されています。さらに北朝鮮系ハッカーがSVG画像にマルウェアを隠蔽し、RubyGemsパッケージを侵害するSleeperGemキャンペーンが報告されています。そしてAnthropic製のClaude for Chrome拡張機能に、わずか6行のJavaScriptで実行可能な重大な脆弱性が発見されました。このほか、AIエージェントをサードパーティサービスに接続する際のセキュリティリスク拡大、SharePointの複数脆弱性が実攻撃で悪用されている状況など、深刻なセキュリティ課題が相次いでいます。

詳細解説

Hugging Face自律型AIエージェント侵害

まずはHugging Faceのセキュリティ侵害についてです。Hugging Faceが7月16日に本番インフラの一部への不正アクセスを公表しました。このインシデントで最も注目すべき点は、侵害が自律型AIエージェントシステムによって最初から最後まで主導されたということです。これは同社の史上初となるインシデントとなります。

攻撃の具体的な流れは以下の通りです。悪意あるデータセットが2つのコード実行脆弱性を悪用され、攻撃者がワーカー上でコード実行に成功しました。その後、権限昇格を実行し、複数の内部クラスターへ横方向に移動。クラウド認証情報が窃取され、複数の内部クラスターが侵害されました。

Hugging Faceはこの脅威を検知するために、LLM駆動異常検知を活用し、17,000件超の攻撃イベントを数時間で処理することに成功しました。重要な点として、公開モデル、データセット、Spacesへの改ざんは確認されていないと述べられています。ただし、パートナーおよび顧客データの流出については現在調査中とのことです。対応として、Hugging Faceは商用API拒否政策を実施し、オープンソースモデルのGLM 5.2を自社ホストする対応を取っています。

AIエージェントを外部サービスに接続するリスク拡大

次に、AIエージェントをサードパーティサービスに接続することのセキュリティリスクについて重要な調査報告があります。

PromptArmorの調査では、2,517個のコネクタのうち931個、つまり37%が6週間で変更され、セキュリティ前提が無効化される可能性を指摘しています。これは大変深刻な統計です。

特にClaude用の487個のコネクタについて、ツール全体の約50%、つまり2つに1つの割合で追加AIサービスへのデータ送信が発生する可能性があるとのことです。

このデータは、組織のセキュリティ管理体制がサードパーティの処理を完全にカバーしていない状況を浮き彫りにしています。AIエージェントがGmail、Slack、その他外部サービスと連携する際に、セキュリティの前提条件が大きく変わる可能性があり、組織内のデータが予期しない形で外部に送信される懸念があります。

Claude for Chrome拡張機能の重大な脆弱性

Anthropic製のClaude for Chrome拡張機能に重大な脆弱性が報告されています。

Manifold Securityが発見したのは、Claude for Chromeバージョン1.0.80における2つの脆弱性です。

1つ目は合成クリックの脆弱性です。Event.isTrustedプロパティの検証が欠落しており、わずか6行のJavaScriptで回避が可能です。この脆弱性により、Gmail読み取り、Google Docs開封など9種類のワークフロー実行が可能になります。CVSSスコアは9.6のCritical、つまり最高レベルの深刻度です。

2つ目はskipPermissionsパラメータの問題です。このパラメータを使用することで、パーミッションチェックをスキップし、ユーザーの同意なしに操作を実行できます。

報告から複数バージョンが経過しても、これらの脆弱性は未修正のままとなっており、大変危険な状態が継続しています。

WordPress WP2Shell脆弱性の実攻撃

WordPressの重大な脆弱性「WP2Shell」が実際に悪用されていることが複数のセキュリティ企業により確認されています。

この脆弱性は2つの脆弱性の組み合わせです。CVE-2026-60137はSQLインジェクション、CVE-2026-63030は任意コード実行です。影響を受けるバージョンはWordPress 6.9.0～6.9.4および7.0.0～7.0.1です。パッチはバージョン6.9.5と7.0.2に含まれています。

REST Batch APIのデフォルト有効化により、未認証の攻撃者がこれらの脆弱性を悪用できます。REST Batch APIはデフォルト有効であり、/wp-json/batch/v1および?rest_route=/batch/v1の両経路でアクセス可能です。

特に注目すべき点は、複雑な多段階チェーンです。具体的には、偽のoEmbedエントリでキャッシュを破壊し、カスタマイズチェンジセットで権限を昇格させ、最終的に悪意あるプラグインアップロードでリモートコード実行を達成します。

攻撃者がWordPressサーバーに侵入した後、Active Directory、SQL Server、バックエンドシステムへの横展開の懸念も指摘されています。これは単なるサイト侵害にとどまらず、組織全体のシステムが危殆化する可能性があるということです。

北朝鮮系キャンペーン：SleeperGem

北朝鮮系ハッカーによるSleeperGemと名付けられたRubyGemsサプライチェーン攻撃が報告されています。

悪意あるパッケージ3つが2026年7月18日から19日にかけてRubyGems.orgにアップロードされました。対象はgit_credential_manager、Dendreo、fastlane-plugin-run_tests_firebase_testlabです。

攻撃の特徴は、難読化されたJavaScriptをSVG画像に埋め込み、ブラウザレンダリング時にステルス実行する技術が使用されていることです。このSVG画像内のOTTERCOOKIEマルウェアは、非常に検知困難な手法です。

パッケージはGitHubタグなしでRubyGems.orgに直接アップロードされました。非常に巧妙な点は、CI環境では動作停止し、開発者のローカルマシンで実行される設計になっていることです。また、権限昇格ロジックが搭載されています。

特にgit_credential_managerはMicrosoftの正規ツールになりすましており、バージョン2.8.0～2.8.3が影響を受けています。複数の永続化機構が搭載されているため、一度侵害されると持続的な脅威となります。開発者であれば特に注意が必要です。

DigiCertコード署名証明書攻撃

DigiCertのセキュリティ侵害が、中国のサイバー犯罪グループGoldenEyedog、別名CylindricalCanineおよびAPT-Q-27と関連していることが判明しました。

この侵害は2026年4月に発生しました。攻撃の入口はサポートチケットワークフロー経由のフィッシング攻撃でした。その後マルウェアが配信され、サポート担当者のデバイスが侵害されました。

最も深刻な点は、証明書初期化コードを傍受することにより、攻撃者が悪意あるペイロードへの署名を生成できるようになったことです。これは業界全体にとって非常に深刻な脅威です。正当な署名が付与されたマルウェアは、エンドポイント保護製品を回避する可能性があるからです。

主なマルウェアはGolden Gh0st LoaderおよびRATで、認証情報収集、リモートシェル、RDPバックドア展開機能を搭載しています。通信はWebSocket経由でポート5188および5198でC2サーバーと通信が行われました。DLLサイドローディング技術も使用されています。

SharePoint複数脆弱性の実攻撃

複数のSharePoint脆弱性がCISA Known Exploited Vulnerabilities（KEV）カタログに追加され、実際の悪用が確認されています。

該当する脆弱性はCVE-2026-32201、CVE-2026-45659、CVE-2026-56164などです。これらの脆弱性を連鎖させることにより、リモートコード実行、権限昇格、永続化が可能になります。

攻撃の手口は、複数脆弱性の連鎖でリモートコード実行を達成した後、Webシェル（spinstall0.aspxなど）を展開して初期足場を確保します。その後、IISマシンキーを窃取することで、正規のペイロード生成が可能になります。

非常に厄介な点は、パッチを適用した後でも永続化が可能なことです。SharePointから侵害が発生した場合、Active DirectoryやバックエンドのSQL Serverへの横展開が大きな懸念事項になります。

ロシア人ハッカー3名に対する米当局の起訴

米国の法執行機関がロシア人ハッカー3名を起訴しました。被告はAlexander Volosovik（43歳）、Kirill Zatolokin（34歳）、Yulia Pankova（29歳）です。

FBIクリーブランド支局が主導した7年間の捜査の結果です。彼らはランサムウェア、マルウェア、フィッシング等の罪で起訴されています。被害総額は6,200万ドルを超えています。

彼らが運営していたのはMedia LandおよびML.Cloudという名称のサービスで、複数の法域、具体的には中国、フィンランド、オランダ、米国でバレットプルーフホスティングを提供していました。このホスティングサービスは多くのサイバー犯罪者に利用されていました。

被害組織には銀行、病院、学校、政府機関が含まれており、オハイオ、カリフォルニア、テキサスを含む21州で被害が報告されています。

米国司法省はRewards for Justiceプログラムの下で、これら3名の逮捕に対して最大1,000万ドルの報奨金を提供しています。また、英国とオーストラリアも国際制裁を実施しています。

ServiceNow AI Platformの重大なRCE脆弱性

ServiceNow AI Platformに重大なリモートコード実行脆弱性が報告されています。CVE-2026-6875です。

この脆弱性はサンドボックス脱出型のRCEで、認証を必要としません。つまり、ネットワークからアクセス可能なServiceNow AI Platform環境であれば、任意のユーザーが攻撃可能ということです。

Searchlight Cyberが2026年4月1日に報告しました。ホスティング型のServiceNow環境は既に対処されています。しかし、自己ホスト型のユーザーについては、7月13日にパッチが公開されました。

非常に懸念される点は、週末に実攻撃が観察されたことです。Defusedという脅威インテリジェクション研究グループが報告しており、パッチ公開前から複数の異なるPoCが存在していたと見られます。

Sharkロボット掃除機のリモートコード実行

数百万台のSharkロボット掃除機がリモートコード実行の危険にさらされています。

影響を受けるモデルはRV2320EDUS、AV1102ARUSなどです。問題はSharkNinjaクラウドの設定ミスにあります。

一部のデバイス証明書が他のユニットのメッセージ購読およびコマンド送信を許可する設定になっていました。デバイス間の証明書隔離が不十分だったということです。

Exec_Command関数でクラウドから送信された文字列がシェル実行される仕様のため、単一の証明書でシリアル番号を知得すれば、任意デバイスのコード実行が可能になります。

1日の監視で150万台以上のデバイスが確認されました。修正パッチはまだ公開されていません。

TP-Link Kasa EC70/EC71の脆弱性

TP-Link Kasa EC70/EC71スマートカメラに2つの脆弱性が報告されています。

CVE-2026-9770（CVSSスコア8.6）では、ハードコードされた暗号鍵でカメラとWeb管理インターフェースの通信が復号でき、中間者攻撃が可能になります。ハードコード化された暗号鍵の存在は、デバイス上の全暗号化通信が危殆化することを意味します。

CVE-2026-13230（CVSSスコア5.3）では、ローカル検出機構経由で位置情報メタデータが認可なしに露出します。スマートカメラの設置場所情報は、ストーキングなどの危険をもたらします。

影響を受けるバージョンはKasa EC70/EC71 v4で、パッチ済みファームウェアが公開されています。

Linux Furtexツールキット

LinuxシステムをターゲットとするステルスツールキットFurtexが報告されています。

Furtexは100種類超のLinuxツールで構成されており、io_uring、eBPF、BPFマップを軸に構築されています。

機能としてはポストエクスプロイテーション、永続化、監視回避に対応しています。プロセスインジェクション、データ窃取、ファイルアクセス、ファイルシステム操作が可能です。

特に注目すべき点は、io_uringを利用した操作がカーネルワーカー経路をたどるため、従来型のテレメトリをすり抜ける可能性があることです。システムコール監視ツールでの検知が困難になります。

Falcoというエンドポイント検知・応答ツールのデフォルトルール25種類の回避に対応しており、エンタープライズ向けEDR製品での検知も難しい可能性があります。非常に高度な回避技術を備えています。

Kimai Dockerイメージのデフォルトシークレット脆弱性

Kimaiの公式Dockerイメージに脆弱性が報告されています。CVE-2026-52824です。

バージョン2.57.0以前に問題があります。Dockerイメージにハードコード化されたデフォルトシークレットが存在し、APP_SECRET=change_this_to_something_uniqueのままになっていました。

エントリーポイントがこのデフォルト値の検証を行わなかったため、SymfonyのKernel.secretとして機能し、認証情報の偽造が可能になります。これはCWE-1188「安全でないデフォルト値」に分類されます。

ユーザーIDが連番整数で最初の管理者は通常ID 11ですが、APIレスポンスに露出するため、攻撃者が最初の管理者のCookieを偽造して乗っ取ることが可能です。

バージョン2.58.0で修正されており、シークレットがbin2hex(random_bytes(32))によるランダムに生成される仕様に変更されました。

7-Zipの重大なバッファオーバーフロー脆弱性

7-Zipバージョン26.02でXZファイル処理に関する重大なメモリバッファオーバーフロー脆弱性が修正されました。

脆弱性のタグはZDI-26-444です。ZDIはZero Day Initiativeを表し、重大な脆弱性として追跡されていることを意味します。

細工されたXZデータが原因で深刻なメモリオーバーフローが発生し、攻撃者がユーザーアカウント権限で不正コード実行が可能になります。

重要な点として、7-Zipは自動更新機能を備えていないため、ユーザーが手動で公式サイトからアップデートする必要があります。つまり、脆弱性が存在しても多くのユーザーが気付かないままになる可能性があります。

LGモニターの不正なアプリインストール問題

LGモニターをWindows PCに接続することで、Microsoft Storeから自動的にLG Monitor App Installerと、McAfee 30日無料トライアルがサイレントインストールされる問題が報告されています。

ユーザーの同意ダイアログが表示されず、Windows Updateが自動的にインストールを実行します。これはセキュリティ上の大きな懸念です。

新規モデルでも3年前のモデルでも確認されており、McAfeeのScam Detectorといったセキュリティソフトもバンドルされています。

LG Monitor App Installerは全システムリソースへのアクセスを要求します。このレベルの権限要求は不必要に見えます。

Device Metadata Retrieval Clientが配信メカニズムとなっており、Windows Updateの標準的な配信チャネルを悪用しています。

Windows 11のIntel IPFドライバー性能問題パッチ

MicrosoftがWindows 11用の緊急パッチKB5121767を公開しました。

Intel IPFドライバーとWindows USB-C Connection Manager間の非互換が原因で、Dell製PCを中心に影響が発生していました。

KB5095093という2026年6月のパッチで導入された変更が原因とされています。

症状としてはパフォーマンス低下、予期しないシャットダウン、発熱、バッテリー消耗などが報告されていました。

KB5121767とKB5121768のアウトオブバンドパッチで修正されています。出力バッファの空き容量誤計算が根本原因でした。

影響を受けるシステムは累積型オプションパッチの適用が推奨されます。Windows AIコンポーネントもバージョン1.2605.856.0に更新されます。

OneDriveセキュリティ更新終了

Microsoftが2026年8月15日をもって、Windows 10 21H2以前のOneDrive同期アプリのセキュリティ更新を終了することを発表しました。

バグ修正や機能更新も対象外になります。これはWindows 10サポート終了に伴うポリシーと考えられます。

一方、Windows 22H2以降は2028年10月10日までセキュリティサポートが継続されます。

古いシステムをまだ使用している場合、セキュリティリスクが増加する可能性があります。既存インストール動作は継続可能性がありますが、機能保証がなくなるため、パッチなしの脆弱性が修正されない状況へと移行します。

クロージング

本日は複数の深刻なセキュリティインシデントと脆弱性についてお伝えしました。自律型AIエージェントによるHugging Face侵害、WordPress WP2Shell脆弱性の実攻撃、Claude for Chrome拡張の重大な脆弱性、北朝鮮系SleeperGemキャンペーン、そしてAIエージェントの外部サービス連携に伴うリスク拡大など、セキュリティ環境がますます複雑化していることがわかります。

特に注目すべきは、AIエージェントが攻撃者側でも防御側でも活用されつつあり、セキュリティ前提そのものが大きく変わりつつあるということです。組織内のデータが予期しない形で外部に送信される懸念や、サプライチェーン攻撃の高度化、そして従来の検知ツールでの検知が困難なツールキットの出現など、防御の難易度が劇的に増しています。

リスナーの皆様にお願いです。ご自身や組織のシステムが今日のニュースで紹介された脆弱性に該当していないか、ぜひご確認ください。特にWordPress、SharePoint、ServiceNowなどの脆弱性は実際に悪用されているため、至急のパッチ適用をお勧めします。

また、Claude for Chrome拡張機能をご利用の場合は、バージョン確認と最新化をお願いします。ロシア製コンポーネントを含むアプリケーションのインストール状況も確認する価値があります。

気になるニュースや詳細な情報については、各セキュリティベンダーの公式発表やセキュリティニュースサイトをご参照ください。

東京セキュリティブリーフィングでした。また次回お会いしましょう。