AIエージェントで100社侵入・1件$50のサイバー攻撃【2026年10月Cairn事件】

「スクリプトキディのやることではない」。NorForge主任脅威リサーチャー、スノレ・ファーゲルランド氏はそう言い切った後、こう続けた。「今や新しい世界だ（It’s a new world now）」。2026年10月19日、Reutersが報じた事件は、サイバーセキュリティの世界に衝撃を与えた。一人の攻撃者が100文字にも満たない中国語の指示を書き、AIエージェントに委ねただけで、100社超のウェブサイトに侵入したのだ（Reuters経由、Insurance Journal, 2026年10月19日）。

被害を受けた企業の中にはジョン・ディア（Deere & Company）、家電ブランドのSharkNinja、エンジンメーカーのCumminsといった米国の大手企業が含まれていた。攻撃に使われたのは「Cairn」というオープンソースのAIエージェントプラットフォーム。ツール代は無料、AIのトークン費用だけを計算すると、侵入1件あたり約$50という試算が出ている。

100文字の指示が引き起こした1,200回の侵入試行

事件が始まったのは2026年9月25日。攻撃者はCairnを使い、米国・カナダ・オーストラリア・日本のeコマースサイトを標的に設定した。AIエージェントは自動的に1,200件超のウェブサイトへの侵入を試み、そのうち100社超への侵入に成功した（NorForge経由、Lowyat.NET, 2026年10月）。

攻撃者の手順は驚くほどシンプルだった。Cairnにターゲットのリストと攻撃戦略を100文字未満の中国語で指示し、あとはAIに任せる。AIエージェントは自律的に各サイトの脆弱性を探し、発見したら侵入を試みた。偵察にはMicrosoft Playwrightというブラウザ自動化ツールを使い、対象サイトで実際に注文が完了できるかを確認してから本格的な攻撃に移行した。

この手口が際立っているのは、攻撃者に高度な技術スキルが不要な点だ。従来のハッキングには、脆弱性を手動で探し、エクスプロイトコードを書き、実行するという専門知識が必要だった。AIエージェントはそのプロセスを自動化し、「何を攻撃するか」だけを決めれば良い状態にした。

セキュリティ研究者フォーゲルランド氏の言葉を借りれば、「誰でも大量の標的に対して自動化された攻撃を仕掛けられる時代が来た」。まさに「スクリプトキディ（既製ツールを使うだけの技術力の低いハッカーを指す業界用語）のやることではない」と評された所以だ。

「Cairn」とは何か — 正規ツールが悪用された構造

Cairnはオープンソースで公開されているAIエージェントプラットフォームだ。本来はビジネスプロセスの自動化、データ収集、ウェブリサーチなどの正当な用途向けに設計されている。CairnをGitHubからダウンロードし、OpenAIやAnthropicのAPIキーを設定すれば、誰でも使い始められる。

今回の事件が発覚したのは、攻撃者がCairnの展開環境を誤って外部に公開してしまったことによる。NorForgeのファーゲルランド氏は通常のインターネットスキャンで20以上の無防備なCairnコントロールパネルを発見し、その動作ログから攻撃の概要を把握した。パスワードすら設定されていないパネルが14ダッシュボード以上存在し、1,100件超の攻撃プロジェクトが記録されていた（SecurityWeek, 2026年10月）。

Cairnの作者「le1xia0」はXにこう投稿した。「Cairnはハッキング攻撃のために設計されたものではない。もし有害なハッキング攻撃に使用されているなら、それは私の意図ではない」（artiverse.ca, 2026年10月19日）。

Cairnに限らず、同様のオープンソースAIエージェントフレームワークは多数存在する。AutoGPT、CrewAI、LangChain…これらはすべて正規の開発者が正当な用途で使うツールだが、悪用も可能だ。「ツール自体に罪はない。ナイフで人を刺す犯罪者がいてもナイフが悪いわけではない」。セキュリティ研究者の多くはそう指摘する（Cyberscoop, 2026年9月）。ただし今回の事件は、AIエージェントの「利便性と危険性の両面」がいかに表裏一体かを改めて浮き彫りにした。

被害を受けた企業の反応と「日本も標的」の現実

Reutersの報道で名指しされた企業の公式コメントは控えめだった。

ジョン・ディア（Deere & Company） は「修復措置を取り、機密情報へのアクセスは確認されていない」と述べた。農業機械の大手だが、eコマース周辺システムが侵入された形だ。

SharkNinja は「影響を受けたのは製品サポート情報を載せたスタンドアロンサイトであり、脅威は封じ込めた」と発表。

Cummins は注意が必要だ。報道では被害企業として名前が挙がったが、同社のウェブサイトではなく「ベンダーが運営する関連サイトへの攻撃に関するレポートを調査中」と表明した。間接的な影響である可能性がある。

重要なのは、日本のeコマースサイトも攻撃対象に含まれていたという事実だ。NorForgeの調査では、ターゲットリストは「米国・カナダ・オーストラリア・日本」の4カ国と記録されている（Lowyat.NET, 2026年10月）。

日本のサイバー被害は既に深刻だ。トレンドマイクロの集計では、2026年1〜9月末までに日本企業・自治体で公表された不正アクセス被害は600件超に達し、2025年通年（593件）を超えた（Tech-Insider.org, 2026年10月）。IDC Frontier（SoftBank子会社）がランサムウェアで495社・機関のサービスに影響、大和証券では22万件の顧客情報が流出した。日本政府は2026年10月9日、緊急の省庁間会議を召集。デジタル庁担当大臣は企業に「サイバーセキュリティを経営の根幹問題として扱うよう」求めた（Bloomberg, 2026年10月9日）。

Cairn事件の報道を受けてXやセキュリティコミュニティでは、「WAFの設定を見直す必要がある」「攻撃コストが下がれば標的の裾野が広がる」といった懸念が広がった。

「1件$50」が変えるサイバー攻撃のコスト構造

NorForgeのファーゲルランド氏の試算によれば、1回の侵入成功にかかったコストは約$50のAIトークン費用と約23時間のエージェント稼働時間。総費用$5,000で100社超に侵入できた計算だ（IBTimes UK, 2026年10月）。

この数字の背景には、先行する事例がある。Reutersの報道に先立つ2026年9月22日、セキュリティ会社Gambit Securityがより早期に「Campaign A」として報告していた。同キャンペーンでは同じCairnを使い27組織を侵入、60万件超のクレジットカード情報を盗取。1ターゲットあたりのコストは平均$25.46（最安$3.13、最高$79.31）だったとされる。Gambit SecurityのEyal Sela氏は「これまでに見たAI搾取の最も深刻な悪用だ」と評した（Forbes, 2026年9月22日）。

重要な補足として、Anthropicは9月のキャンペーン（Campaign A）で使用されたアカウントを特定・停止したことを確認している。AIプロバイダーが悪用を検知して対応した事例となった。

一方で、いずれの試算にも注意が必要だ。NorForgeもGambitも攻撃者の実際のAPI請求記録を持っておらず、コストはあくまで推計値。実際の費用はもっと高い可能性もある。

業界の光と影 — AIは防御にも使える

悪いニュースばかりではない。AIエージェントは攻撃者だけでなく、防御者も使っている。

攻撃側の現実（影）：

• 技術スキルの閾値が大幅に低下。「スクリプトキディ」が本格的な攻撃者になれる
• 攻撃コストが劇的に下がり、大量標的への同時攻撃が可能
• 自動化により24時間・大規模な侵入試行が可能
• オープンソースツールの悪用を完全に防ぐことは困難

防御側の可能性（光）：

• AnthropicはClaude Cyber Verification Program（CVP）を通じて、セキュリティ専門家が攻撃シミュレーションにAIを使えるプログラムを提供している
• WAFベンダー各社がAI検知機能の強化を進めている。異常な速度・パターンのリクエストを自動ブロックする対応が広がりつつある（各社発表）
• GoogleのDeepMind研究チームは「Gemini 4 Argon」モデルを攻撃発見・検証・修正に活用
• Microsoftは2026年10月19日、「Project Perception」の拡張として「ガーディアンエージェント」機能を発表。リスクの高いAIエージェントの動作をリアルタイムで評価・停止する仕組みだ（TechCrunch, 2026年10月19日）

セキュリティ研究者の間では「AIは攻撃者と防御者の両方を同時に強化するが、攻撃の方がスピードで先行しやすい」という評価が多い。防御はルール・パターンを学習する時間が必要だが、攻撃は新しいエージェントを試すだけで良いからだ。

関連記事

• AgentJacking：MCPサーバー経由でAIエージェントを乗っ取る新型攻撃手法
• Anthropicのサイバー検証プログラム（CVP）拡充：AIと攻撃的セキュリティ研究の境界
• AIエージェント責任法案：Hawley・Murphy議員がCFAAを改正する理由

本記事は報道ソース（Reuters, NorForge調査, 各ニュースメディア）に基づく。コスト試算はNorForgeによる推計値であり、実際の数値を保証するものではない。被害企業の情報は各社の公式発表と報道を参照した。記事内容は2026年10月21日時点のものであり、状況は変化する可能性がある。