クラウド型WAFを提供する国内セキュリティ企業ビットフォレストは10月14日、同社の技術ブログで、日本企業のWebサイトに対するAIエージェント攻撃を確認したと報告しました。同社は攻撃元がAIエージェントかを判定する仕組みを導入し、10日夜から14日までに少なくとも3つのIPアドレスからの攻撃を確認しました。そのうち1つについて、8時間弱にわたり10段階で変化した攻撃の推移を公開しました。

ビットフォレストは判定方法の詳細を明かすと攻撃者に対策される恐れがあるとして、仕組みの説明を控えています。一方、サーバの応答を読み取り、次の行動を修正するAIエージェントの特徴を利用し、単純なリクエストの連続送信や「curl」「sqlmap」の実行だけにとどまる従来型の攻撃と区別できるよう、WAFの挙動を調整したと説明しました。導入前の検証では、中国Alibabaの「Qwen 3.8 Flash Next」や中国Z.aiの「GLM-5.3 Flash」を含む高性能モデル8種による攻撃を検出できたとしています。攻撃をすべて列挙できるわけではないものの、検知した場合はAIエージェントによるものと断定できる仕組みだと同社は述べました。

8時間弱続いた攻撃では、毎秒約35件、約1万件に及ぶ高速スキャンのほか、既知の脆弱性を狙う攻撃や約250件のログイン総当たりがあり、多くのツールが切り替えられました。別のIPアドレスからは問い合わせフォームへの連投を含む5段階の攻撃があり、残る1つからは約1000件のスキャンが確認されました。ビットフォレストは3つの攻撃の特徴が異なるため、攻撃主体が別々の可能性があるとしています。

ビットフォレストは、攻撃者がAIエージェントを使っても対策は大きく変わらないとし、脆弱性の解消と、攻撃パターンの識別情報だけに依存しないWAFの導入を有効策に挙げました。同社はAIエージェントの利便性と性能を理由に、今後ほぼすべての攻撃者が利用するようになると推測しています。これは同社の見通しです。本文で確認されたのは、10日夜から14日までに少なくとも3つのIPアドレスから攻撃があり、うち1件が8時間弱続いたことです。記事は、それらの攻撃者の身元や、AIエージェントが攻撃全体に占める割合は示していません。なお、同社は検知の仕組みについて、すべてのAIエージェントを漏れなく識別できるとは説明していません。ここでの「検知した場合は断定できる」という説明は、同社の仕組みについての主張です。個々の攻撃に使われたモデル名も特定されていません。

クラウド型WAFを提供する国内セキュリティ企業ビットフォレストは10月14日、同社の技術ブログで、日本企業のWebサイトに対するAIエージェント攻撃を確認したと報告しました。同社は攻撃元がAIエージェントかを判定する仕組みを導入し、10日夜から14日までに少なくとも3つのIPアドレスからの攻撃を確認しました。そのうち1つについて、8時間弱にわたり10段階で変化した攻撃の推移を公開しました。

ビットフォレストは判定方法の詳細を明かすと攻撃者に対策される恐れがあるとして、仕組みの説明を控えています。一方、サーバの応答を読み取り、次の行動を修正するAIエージェントの特徴を利用し、単純なリクエストの連続送信や「curl」「sqlmap」の実行だけにとどまる従来型の攻撃と区別できるよう、WAFの挙動を調整したと説明しました。導入前の検証では、中国Alibabaの「Qwen 3.8 Flash Next」や中国Z.aiの「GLM-5.3 Flash」を含む高性能モデル8種による攻撃を検出できたとしています。攻撃をすべて列挙できるわけではないものの、検知した場合はAIエージェントによるものと断定できる仕組みだと同社は述べました。

8時間弱続いた攻撃では、毎秒約35件、約1万件に及ぶ高速スキャンのほか、既知の脆弱性を狙う攻撃や約250件のログイン総当たりがあり、多くのツールが切り替えられました。別のIPアドレスからは問い合わせフォームへの連投を含む5段階の攻撃があり、残る1つからは約1000件のスキャンが確認されました。ビットフォレストは3つの攻撃の特徴が異なるため、攻撃主体が別々の可能性があるとしています。

ビットフォレストは、攻撃者がAIエージェントを使っても対策は大きく変わらないとし、脆弱性の解消と、攻撃パターンの識別情報だけに依存しないWAFの導入を有効策に挙げました。同社はAIエージェントの利便性と性能を理由に、今後ほぼすべての攻撃者が利用するようになると推測しています。これは同社の見通しです。本文で確認されたのは、10日夜から14日までに少なくとも3つのIPアドレスから攻撃があり、うち1件が8時間弱続いたことです。記事は、それらの攻撃者の身元や、AIエージェントが攻撃全体に占める割合は示していません。なお、同社は検知の仕組みについて、すべてのAIエージェントを漏れなく識別できるとは説明していません。ここでの「検知した場合は断定できる」という説明は、同社の仕組みについての主張です。個々の攻撃に使われたモデル名も特定されていません。