セキュリティブリーフィング：2026年8月

本文の内容は、2026年9月1日に Crystal Morin が投稿したブログ (https://www.sysdig.com/blog/security-briefing-august-2026) を元に日本語に翻訳・再構成した内容となっております。

与えられた権限

正当な認証情報から派生した汚染パッケージ、すでに与えられていた権限だけでインサイダー脅威に転じたAIエージェント、そして権限を与えられた瞬間にそのまま実行を続けたランサムウェアアフィリエイトのLLM。攻撃者は、AIが被害をもたらすために新たな権限を必要としないことに気づいています。つまり、権限昇格はもはや優先度の高い戦術ではなくなったということです。Sysdig自身の8月のリサーチは、この点をさらに鮮明にしています。調査対象となったAI関連の攻撃8件のうち7件が、MITRE ATT&CKフレームワークの中でも最もありふれたコマンド実行手法を使っていました。AIは新たなアタックサーフェスを生み出しているわけではありませんが、うまく頼めば（あるいは正しい頼み方をすれば）、AIはその仕事をやり遂げてしまいます。 

それでは、今月のセキュリティブリーフィングを見ていきましょう。

8月4日：Shai-Hulud ワームが再び登場

• ChainDropは、2025年11月下旬に登場した自己増殖型のnpmサプライチェーンワームShai-Hulud 2.0の進化版です。ただし、今回の亜種は、5月にShai-Hulud のソースコードを流出させたTeamPCPとは関連付けられていません。
• 新しいペイロードは、EthereumのスマートコントラクトからC2を解決し、AIコーディングツールの認証情報を特に狙います。 
• ChainDropは4時間足らずで400以上のパッケージ、2,000以上のバージョンを汚染しました。JavaScriptエコシステムの公開デベロッパーツールを標的にし、最初の2時間以内にServiceTitanやQlikなどの企業のエンタープライズSDKにも標的を広げました。 
• 多くの見出しはBlack Hatの宣伝報道に埋もれてしまいましたが、影響を受けたバージョンをインストールしている場合は、侵害されたものとみなしてください。侵害されたGitHubメンテナーアカウントによって、悪意あるリリースが有効なSLSAプロビナンスを伴って配布されてしまいました。 

8月9日：Ghostjacking がAIコーディングエージェントをインサイダーに変える

• DEF CON 34で、Tenet Threat Labsはリサーチを発表し、たった1行のログでも、開発者のマシン上でAIコーディングエージェントをインサイダー脅威に変え得ることを示しました。 
• Tenet Threat Labsが示したのは、特定プラットフォームの脆弱性ではありません。この欠陥パターンはCloudflare、Datadog、Sentryに影響し、Cloudflare自身が推奨する構成に対するClaude Codeへの攻撃では成功率90%を記録しました。
• Anthropic のClaude Desktopのサンドボックスエスケープにおいて、別のゼロデイも発見されました。これにより、本来であればデータの持ち出しを阻止していたはずの制御が失われていました。 
• 4社のベンダーすべてに事前通知が行われ、Claude Desktopの欠陥はDEF CONでの発表前に修正済みであることが確認されています。 
• Ghostjacking攻撃を検知できないのは、AIエージェントが実行するあらゆるステップ——ログの読み取り、DNSレコードの書き込みなど——が、すでに許可されていた行為だからです。 
• これは最終的にはアーキテクチャ上の修正を必要とします。読み取り専用ツールと書き込み・実行ツールを、明確な信頼境界を設けずに同じセッションで共有させてはなりません。 

8月13日：ランサムウェアの侵入で使用されたClaude Code 

• Gambit SecurityのThreat Intelligenceチームは8月13日、攻撃者が攻撃的オペレーションでAIを使用することに成功した、無関係な3件の事例に関するレポートを公開しました。 
• 報告されたオペレーションの1つでは、“The Gentlemen”とみられるランサムウェア・アズ・ア・サービスのアフィリエイトが、少なくとも6つの被害組織への侵入でClaude Codeを使用していました。 
• オペレーターはフロンティアモデルではなくSonnet 4.6を使用していました。これは、より厳しい安全性のガードレールを避けるためだったとみられます。
• Claudeはコマンドを実行し、データベースを重要度順にランク付けし、稼働中の本番データベースを正しく特定し、最も重要なアセットを洗い出しました。 
• Claudeが稼働中の本番システムへのログインを拒否した際、オペレーターは新しいセッションを開いてそのシステムに対する認可を主張し、その結果Claudeは処理を先に進めてしまいました。 

Sysdig TRT のその他の調査結果

AIがあなたの技術的負債を取り立てている

• 8月12日、Sysdig 脅威リサーチチーム（TRT）は、8件のAI関連攻撃の分析結果を公開しました。そのいずれにも新規の手法は含まれていません。AIが変えたのは、誰がそのオペレーションを実行できるか、そしてどれだけ速く実行できるかだけです。
• 8件のうち7件は、MITRE ATT&CKフレームワークの中でも最もありふれた手法、T1059：Command & Scripting Interpreterを使用していました。 

• このブログは、5つのAI関連の負債が一度に返済期限を迎えるという構成になっています。これらの負債は、コード、インフラ、ガバナンス、スキル、そしてAIアタックサーフェスへの放置から生じています。 

その他のニュース

• OWASP GenAI Security Projectの更新： OWASP Top 10 for LLM Applicationsが8月3日に更新され、注目すべき内容となっています。Prompt Injection（プロンプトインジェクション）は2回連続で1位を維持していますが、位置付けの説明が変わり、残りの上位10項目の結果も変化しました。今回、初めて専門家の投票に加えて侵害データがランキングに反映されました。この変更により、Excessive Agency（過剰なエージェンシー）とMisinformation（誤情報）が大きく順位を上げました。 
• 2022年重要インフラサイバーインシデント報告法（CIRCIA）： CIRCIAは、夏の間にいくつかの公開会合を経て、9月の最終規則の実施という目標に向けて、依然として静かに進行中です。当初の期限だった2025年10月から2回延期されていますが、いったん正式に確定すれば、CISAはインシデントの72時間以内の報告と、身代金支払いの24時間以内の報告を義務付けることになります。注視し、備えておく価値はありますが、まだ賭けに出るのは早計です。 
• NISTによるNVDの現代化： NISTは8月17日、National Vulnerability Database（NVD、脆弱性情報データベース）の現代化に向けたコミュニティからの提案を求める意見募集（RFI）を公開しました。これには、マシンリーダブル化や、AIが形作るセキュリティ環境への対応強化が含まれます。コメントの受付は2026年10月13日まで行われています。 
• Cl0pによるPTC Windchillの悪用： 8月中旬にかけて、Cl0p ランサムウェアグループは、製品ライフサイクル管理（PLM）ソフトウェアPTC WindchillのPDMLinkおよびFlexPLMにおける未認証ユーザー向けRCEであるCVE-2026-12569を悪用し、約50の組織を攻撃しました。Cl0pは、Shell、Philips、Fiserv、Toast、Zebra Technologiesといった有名企業から、画像ファイル、文書、設計図、プロジェクトファイル、データベースなどを窃取しました。

まとめ

8月は、今まさに監査すべきなのは（単に与えられた権限だけでなく）信頼境界であることを思い出させてくれます。人間がアーキテクチャー内で何かが実行される前の最終チェックであるという前提は、もはや成り立ちません。今重要な監査とは、誰がアクセス権を持っているかではなく、いったんアクセスした後に何をすることを許されているか、そして読み取りのみの状態から行動に移るまでの間に何か歯止めがあるかどうかです。 

9月にはすでに、独自の審判の時が控えています。CIRCIAは最終規則に向けてカウントダウンが進んでおり、これはガバナンスに関する議論の嵐を巻き起こすことになるでしょう。NISTも、10月までにNVDについての意見を求めています。 

毎月のまとめの間も情報を追いたい方は、Sysdig TRTのブログで最新情報を確認するか、LinkedIn で隔週発行している私のセキュリティニュースレターをフォローしてください。 

‍