Digital.ai（デジタルエーアイ）は2026年9月から10月にかけて、攻撃者によるAIエージェントの兵器化とアプリケーションセキュリティーの構造変化を検証した3本の報告記事を公式ブログで公開している。これらは、AIが新たな脆弱性を生み出すのではなく「既存の脆弱性を悪用するスピードと経済性を劇的に変化させた」実態を詳述し、従来の定期的な脆弱性診断や単発の修正から、継続的に検証される「アプリケーションレジリエンス（回復力）」への転換を提唱している。
標的1社当たり約25ドル：AIツールチェーンによる自律的搾取とスキマーの設置（10月13日公開、執筆者：製品管理担当副社長 Mike Woodard）
脅威インテリジェンス企業Gambit Securityが攻撃者のステージングサーバー露出から検知したインシデントでは、2026年9月10日から15日までのわずか5日間に、中国語話者とみられる単一の攻撃者がオープンソースの3つのAIシステム（偵察、自律的悪用、オーケストレーション）を連鎖させて実行した。
・攻撃の規模と経済性：約100社のオンライン小売業者に対して105件の攻撃プロジェクトを並行稼働させ、少なくとも27組織（Forbesの独立報道では30組織以上）を侵害。101回の完了スキャンにおけるモデル実行コストは1回当たり平均25.46ドル（最小3.13ドルから最大79.31ドル）にとどまり、低予算かつ少人数で大規模なキャンペーンが成立することを実証した。
・被害実態：攻撃者のサーバーからは61万8,000件のクレジットカード情報（うち約48万8,000件は米国居住者）が確認され、不正解析企業Overwatch Dataによってリサイクルや水増しではない実データであることが検証された。少なくとも19のチェックアウトページでMagecartスタイルのスキマー稼働が確認されている。被害組織は年商100億ドル超のホスピタリティ企業や航空会社、10億ドル規模のファッションブランドから、ミネソタ州の銃器販売店やイリノイ州のコスメ小売店まで多岐にわたり、企業規模を問わず標的となった。
・攻撃経路と共通点：侵入経路自体はSQLインジェクション、露出した管理パネル、クラウドキーの漏洩、脆弱なプラグインなど多様であったが、最終的な収益化の段階（チェックアウトページへのスキマー注入と外部へのデータ持ち出し）は全件共通していた。
・防御アプローチ：侵入経路の遮断に加え、持ち出し段階の防御としてApp Hardening for Web: Browserの2機能が提示されている。
Web App Integrity Guard：チェックアウトページのスクリプトやDOMの整合性をリアルタイムで監視し、動的に追加・変更された不正スクリプトを検知。
In-App Firewall Guard：保護されたページからの外部リクエスト先を許可リストで制御し、承認外の宛先へのバックグラウンド通信をブロック。
社内テストにおいて、正常な静的スクリプトには反応せず、実行時に動的追加されたスクリプトタグおよび未許可ドメインへのデータ持ち出し通信（fetch）を即座に検知・遮断することが実証された。
全文はこちら
自律型エージェントの攻撃チェーンと組織のレジリエンス計画（10月6日公開、執筆者：グローバルプラクティスリード John Goodland）
単一の脆弱性スキャンにとどまらず、AIエージェントが目標達成に向けて自律的に手法を変更し、複数の弱点を連鎖させる実態と、それに対抗するCISO・セキュリティー責任者向けのロードマップが提示された。
・攻撃モデルの高度化
悪用の連鎖：SQLインジェクションからMFA（多要素認証）バイパス、管理者権限の取得、任意ファイルアップロード、RCE（リモートコード実行）、特権昇格、クラウドシークレット抽出、決済データベースへのアクセスへと自律的に攻撃を展開。
持続性の確立：正規のJavaScriptの改ざんやCDN配信コンテンツの汚染を行い、クリーンなアプリケーションを再デプロイした後でもスキマーが自動復元される持続性を確保。
ID悪用：音声フィッシングなどで企業SaaS環境内に不正な連携アプリを承認させ、付与されたOAuth権限を経由して企業データや接続先クラウドサービスへ横断的に侵入。
・CISOおよびAppSecリーダー向け「30・60・90日計画」
最初の30日（露出の特定とコントロール検証）：基幹システム、バックエンド、特権ID、クラウド制御プレーンに直間接的につながる全てのアプリ、API、連携サービス、外部コンポーネントを棚卸しする。RCEや管理者権限を取得された際に到達可能な範囲（推移的信頼、継承された権限）をマッピングし、未承認の変更を検知できる体制を整える。
60日以内（攻撃者スピードでの検証と完全性の強化）：ビジネス目標の侵害をシミュレートしたシナリオベースのテストを実施。改ざん防止、プラットフォーム完全性、静的・動的解析防止コントロールをAI支援攻撃を想定して検証し、検知・封じ込め・修正完了までの時間を測定する。
90日以内（レジリエンスの運用化）：OWASP（モバイルにおけるMASVS-RESILIENCEなど）に準拠した反復可能なベンチマークを確立。保護テレメトリをインシデント対応に統合し、最小限の実行可能アプリケーション（MVA）と関連サービスの復旧手順を訓練する。
・セキュリティーレビューにおける重要な問いかけ
重要システムへの経路に基づき、どのアプリを最優先で保護し、資産全体へどう展開するか。
アプリコード、実行時コントロール、配信アセットの改ざんをどれだけ迅速に検知できるか。
従来ツールだけでなく、現在のAI支援ワークフローに対してテストされた防御策はどれか。
分散したアプリからシークレットや暗号資産を抽出・再利用されるリスクはないか。
脆弱性が連鎖された場合、重要システムへ侵入される前段階で改ざんや資産抽出を阻止・遅延・検知できるか。
全文はこちら
静的解析の自動化：180万個のAPKから機密情報を刈り取る手口（9月25日公開、執筆者：プロダクトマーケティングシニアディレクター Dan Shugrue）
Anthropicが2026年9月の脅威インテリジェンスレポートで公表した事例に基づき、ShinyHuntersエコシステムに関連するフランス語話者オペレーターの手口を検証。AIエージェントと10台のAWS EC2ワーカーを組み合わせた大規模な認証情報抽出キャンペーンが行われた。
・攻撃のプロセス：複数のアプリストアから180万個の独立したAndroid APKを一括ダウンロードし、全件を逆コンパイルした上で、シークレット検出ツールTruffleHogを用いてAPIキー、クラウド認証情報、バックエンドトークンを自動スキャンした。検証されたヒット情報はTelegramへリアルタイム転送され、本番環境へアクセス可能な認証情報が優先的に選別された。並行してGitHubの個人アクセストークン（PAT）の収集も実施された。
・被害の連鎖：抽出された認証情報を起点に1社のSaaSプロバイダーが侵害され、その下流にある約200社の顧客組織へ横展開された結果、約34時間で40以上のテナントにわたり2,100組以上のAzure ADトークンセットが流出した。
・モバイルセキュリティーの盲点：このキャンペーンでは、エミュレータや実機端末、ルート化環境、動的解析フレームワークは一切使用されず、アプリは一度も実行されなかった。純粋な静的解析のみで処理されたため、RASP（実行時自己保護）、改ざん検知、ルート化/脱獄検知などのランタイム保護機能は完全に回避された。
・防御の考え方（抽出コストの引き上げ）：特権認証情報をクライアントアプリ内に含めずサーバーサイドで管理することが原則であるが、コード内に残るシークレットを迅速に保護するためには、大量処理を行う攻撃パイプラインの採算を崩す（処理コストを上げ、標的リストから外れさせる）アプローチが求められる。
String Encryption Guard（DEX 6.9.1 / Native ARM 16.6.0）：文字列リテラルを実行時復号処理へ置換し、逆コンパイル時の平文読み取りを無力化して動的解析を強制させる。
White-Box Cryptography（Agent 1.1.1）：hideAndStore()およびfetchAndUnhide()を通じてAPIキーやOAuthトークンをアプリのパッケージIDや署名証明書に暗号学的にバインドし、静的抽出やデバッグ環境での抜き取りを防ぐ。
全文はこちら
出典：Digital.ai
この製品の詳細については、Digital.ai製品ページをご覧ください。
