AIツール Cairn ケルン は1人のハッカーが1,000サイトを長時間繰り返し自律的に攻撃できる（そういう時代になった）
AIの最新動向をXで追っている関係で、最近のAIエージェントによる攻撃についても、ニアリアルタイムで流れてきます。昨晩遭遇したのが本投稿の「Cairn」に関する悪用の発見に関するニュース/情報共有です。（今は2026年10月21日午後5時過ぎ）最近のXは外国語投稿をGrokが自動的に日本語に翻訳して流してくれるので、閲覧傾向に従って、サイバーセキュリティを見てクリックしている人ならそういう外国語投稿がバンバン日本語になって流れてきます。その中で発見した情報です。すでに日本語の記事が数本出ていますが、まだ日本のサイバーセキュリティ業界ではマイナーな存在です。
2026年10月、セキュリティ調査会社NorForgeが公開した調査により、オープンソースのAIエージェント基盤「Cairn（ケルン）」が、実際のサイバー攻撃に使われている実態が明らかになりました。一人の攻撃者がこの基盤を使い、1,200以上のウェブサイトを標的にし、100社以上の企業サイトを侵害したと報じられています。サイバーセキュリティに詳しくない方にもわかるように、Cairnとは何か、どのように使われたのか、企業として何を意識すべきかを整理します。
Cairnとは何か
Cairnは、オープンソースの「一般目的の問題解決エンジン」です。もともとは自律的なペネトレーションテスト（侵入テスト）の実験から発展したものですが、役割や決まった手順を固定せず、「出発点（origin）」と「目標（goal）」を与えると、AIエージェントが共有の黒板（blackboard）を使いながら、発見した事実（fact）と次にやるべきこと（intent）を書き込み、目標に向かって探索を進める仕組みになっています。
人間のオペレーターは、目標と短いヒントを与える程度でよく、エージェントが長時間にわたって自律的に調査・試行を繰り返します。制御パネル（ダッシュボード）で進捗を可視化できるため、複数のプロジェクトを同時に管理しやすい点が特徴です。
実際に観測された攻撃の概要
NorForgeの研究者Snorre Fagerland氏は、インターネット上に公開されたままになっていたCairnの制御パネルを20以上発見しました。その中で特に活発だったのが、中国語を使う攻撃者のグループ（NorForgeがAIA0001と分類）です。
- 9月25日頃から活動を開始。
- 主に米国・カナダ・オーストラリア・日本のECサイトなどを標的に、1,200以上のサイトを調査。
- 100以上の企業サイトの侵害に成功。Reutersの確認により、Deere（ジョンディア）、SharkNinja、Cumminsなどの関連サイトが含まれていたことが明らかになりました。
- 成功した侵害は平均約23時間程度の自律的な探査で達成。
- 使用されたAIは、DeepSeek V4.1 FlashとClaude Codeを組み合わせたような構成。
- 全体のトークン費用は約5,000ドル程度と推定され、成功1件あたり約50ドル程度です。
- 指示は中国語で100文字未満の短いもので、「コード実行可能な脆弱性を探して、アップロード用のWebシェルを設置せよ」といった内容でした。
エージェントは、最初のアプローチが失敗すると関連するインフラを自ら調べ直すなど、一定の柔軟性を見せていました。また、攻撃者自身が制御パネルを公開したままにしていたため、研究者はリアルタイムに近い形で活動を観察できました。
この事例が示すこと
Cairn自体は「ハッキング専用ツール」として作られたわけではなく、問題を段階的に解決するための汎用エンジンです。しかし、目標を「サイトに侵入して永続的なアクセスを得る」と設定すれば、そのまま攻撃に使えてしまう点が重要です。
この事例で特に注目すべき点は以下の通りです。
- 人間の関与が極めて少ない：長い計画や詳細な指示は不要で、短い目標設定でエージェントが長時間動き続けます。
- コストが非常に低い：成功1件あたり数十ドル程度で、従来の専門家を雇うコストとは比較になりません。
- 規模を拡大しやすい：1,100以上のプロジェクトを同時に走らせていたグループもあり、並列処理が容易です。
- 公開範囲の広いサイトが狙われやすい：特にECサイトや古いシステム、管理画面が露出しているケースが標的になっていました。
NorForgeの調査では、他にも英語圏のグループがクレジットカードや暗号資産の窃取を目的に同様の基盤を使っている様子も確認されています。また、正当なレッドチーム（防御側のテスト）が同じ基盤を使っていて、制御パネルを公開したままにしていた事例もあり、顧客情報の漏洩リスクにもつながっています。
東証プライム上場企業のCIOとして意識すべきこと
専門的な技術の詳細を理解する必要はありません。しかし、以下の方向性を経営として押さえておくことが有効です。
- 公開しているWebサイトと管理画面の見直し
特にECサイト、古いアプリケーション、外部からアクセス可能な管理画面は、優先的に棚卸しとアクセス制限の確認を行うことをお勧めします。不要な公開範囲は最小限にすることが基本です。（今泉注：この時代、不用意な損害を利用者に与えないためにも、企業収益上あまり意味を持たないサイト/サービスは積極的にシャットダウンすべきだと考えます。）
- 「AIエージェントが長時間自律的に動く」ことを前提にした監視
従来の短時間のスキャンだけでなく、数時間から数十時間にわたって同じサイトを丁寧に調べ続けるようなアクセスパターンも監視の対象にする必要があります。
- 自社でAIエージェントを使う場合の管理
便利なツールほど、意図しない使い方や外部からの悪用が起きやすくなります。権限を必要最小限にし、重要な操作には人の確認を挟む、ログを残すといった基本的な統制が重要です。
- 外部のインシデントレスポンス企業だけに頼らない体制
攻撃の規模が拡大すると、対応を依頼できる専門家のリソースが逼迫する可能性があります。自社で初動を取れる範囲をあらかじめ決めておくことが有効です。（今泉注：このレポートで報じたインシデントレスポンス会社<IR会社>は、すでに顧客が殺到しており、新規の顧客は受け付けられないとの、米国の業界情報が流れているのをXで昨晩見ました。おそらく日本のIR会社大手<その多くは外資大手>でも同じことが早期に起こると思います。最速で稟議を回して早期にIR会社と契約を結ばれることをお勧めします。以下のレポートで言う「フォレンジック会社」=インシデントレスポンス会社です。）
【緊急共有4】フォレンジック5社、サイバー保険、インシデントレスポンス市場、制裁規制の動向(2026年10月): ディープリサーチレポート
- 経営レベルでの優先順位付け
どのシステムやサイトが止まってはいけないのか、どのデータが漏れてはいけないのかを明確にし、限られたリソースをどこに集中させるかを決めることが、現実的な対策の第一歩になります。
まとめ
CairnのようなオープンソースのAIエージェント基盤は、もともと汎用的な問題解決を目的としたものです。しかし、実際の攻撃者がこれを使い、短い指示と低コストで100社以上のサイトを侵害した事実は、攻撃のハードルが確実に下がっていることを示しています。
東証プライム上場企業としては、技術の名前を覚える必要はありません。「AIが自律的に長時間動き、低コストで多数の標的を調べられるようになった」という変化を認識し、公開範囲の見直しと基本的なアクセス制御・監視を優先的に進めることが重要です。必要に応じて、セキュリティ部門や外部の専門家と一緒に、自社の公開資産を点検することをお勧めします。
この変化は、すでに始まっています。