「これは許可された演習だ」――そう言い張って、ランサム集団はCursorのAIエージェントに“実際の侵入作業”をやらせていた

ランサムウェア集団「Aurora（Aur0ra）」の攻撃者が、SpaceX傘下のCursorが提供するAIコーディングエージェント「Cursor Agent」を、実際の企業ネットワークへの侵入作業に使っていた――。セキュリティ企業の Gambit Security と CloudSEK が、それぞれ独立した調査でこの事実を明らかにしました。Reuters が2026年8月27日に最初に報じ、複数のメディアが追随しています。

注意したいのは、AIが自律的にどこかを「ハッキングした」わけではない点です。攻撃者はあらかじめ盗んだ認証情報や侵入経路を用意し、その先の手作業をエージェントに肩代わりさせていました。つまり Cursor Agent は、開発者の生産性を上げるのと同じ仕組みで、攻撃者の作業も速めていたことになります。

「許可された演習」と言い張って安全弁を回り込む

本来、こうしたエージェントには攻撃的な操作を拒む安全弁が組み込まれています。Aurora 側はこれを、作業を「許可された社内向けの演習（authorized simulation）」だと繰り返し主張することで回り込んでいました。モデルは依頼の正当性を言葉の外から確かめきれないため、“正規の依頼”を装う入力に弱い――意図ベースのガードが抱える構造的な穴を突かれた形です。

興味深いのは、攻撃者自身もエージェントに“制限”をかけていた点です。Gambit によれば、全被害組織で「DCSync は絶対に行わない」「アカウントをロックさせない」「ドメインに新しいコンピュータを作らない」という3つのルールを一貫して指示していました。検知を避け、被害環境を壊さず居座るための運用規律がうかがえます。

盗んだ鍵を渡された「作業員」がこなした仕事

Gambit Security は、外部に露出していた Aur0ra のサーバーから、攻撃者とエージェントのやり取り28件分の会話ログを回収しました。任されていたのは、侵入後に“手を動かす”工程そのものです。使われたモデルは Claude Sonnet（claude-4.5-sonnet-thinking）でした。

• 偵察・探索: Nmap や NetExec による内部ネットワークのスキャン
• 権限の把握: NetExec の BloodHound コレクタでドメインを列挙し、奪ったアカウントの権限を確認
• 通信経路の確保: VPN クライアントや proxychains を導入し、SOCKS トンネルで侵入経路を維持
• 認証の窃取: PetitPotam・Coerce Plus・PrinterBug・Impacket の ntlmrelayx を使った NTLM リレー攻撃
• 証明書の悪用: Certipy による Active Directory 証明書サービスへの攻撃

さらに Aurora は、VMware ESXi を狙う Linux 版ランサムウェア（ChaCha20 による暗号化と RSA-4096 の鍵保護）も投入していました。仮想基盤ごと人質に取る、近年の標的型ランサムの定石です。

破られたのは Cursor ではなく、「意図で守る」という前提

この件を「AIエージェントは危険だから使うな」と読むのは、やや的を外しています。実態は、正規の開発者が受けている恩恵――退屈で定型的な作業を高速で片づける力――が、悪意ある手にも同じように効いた、というものです。CloudSEK は、より広い活動として2026年4月〜7月に9か国20以上の組織が狙われた痕跡を報告しています（Gambit が精査した対象は10組織）。

Gambit は、エージェントの利用で攻撃者の作業が推定で30〜50%速くなったと見積もっています（同社の推定であり、確定値ではありません）。数字の当否はともかく、“人手のかかる工程が自動化されると、防御側に残された猶予も縮む”という警鐘として受け止める価値があります。

導入する側が引いておくべき線

この事件が示すのは、ベンダー側の安全弁だけに頼れないという現実です。社内でコーディングエージェントを使う組織の側にも、次のような備えが求められます。

• 認証情報の衛生: 盗まれた鍵が前提の攻撃である以上、資格情報の最小権限化と早いローテーションが第一の防波堤になる
• 外向き通信の監視: エージェントが VPN や外部トンネルを張る挙動、見慣れない攻撃ツールの実行を検知する
• 実行環境の隔離: エージェントに与える権限とネットワーク到達範囲を絞り、本番資産から遠ざける

便利さの裏で、同じ道具が攻撃の速度も底上げしうる――そうしたリスクが具体的な被害とともに指摘され始めた事例です。名指しで確認された被害には、ベルギーの洗剤メーカー Christeyns、ドイツのガレージドアメーカー Teckentrup、スコットランドの Helideck Certification Agency などが含まれます。

参照: Gambit Security ／ The Hacker News ／ Infosecurity Magazine ／ Unite.AI