Tiny Enough to Break In: Agentic Remote Access Trojans Powered by Small Language Models

コンピュータが単に指示に従うだけの従順なロボットではなく、好奇心旺盛な探偵のように自ら考え始める世界を想像してみてください。これが「エージェンティックAI（Agentic AI）」の領域です。人間が毎回「実行」をクリックするのを待つ標準的なプログラムとは異なり、「エージェント」は状況を観察し、次に何をすべきかを判断し、それを試し、もし失敗したら別の方法を試すことができるデジタル・アシスタントです。さて、そのアイデアをさらに小さく凝縮することを想像してください。思考のために巨大なクラウドベースのスーパーコンピュータを必要とする代わりに、私たちは「小型言語モデル（SLM）」について話しています。これらは、インターネット経由で「家に電話（通信）」する必要なく、ローカルで推論を行うことができる、一般的なノートパソコンやスマートフォンにも収まる「ポケットサイズの脳」のようなものです。

なぜこれが重要なのでしょうか？ というのも、何十年もの間、ハッカーたちは「リモートアクセス・トロイの木馬（RAT）」、つまりコンピュータに忍び込み、遠隔操作するための悪意のあるプログラムを使用してきたからです。通常、人間のハッカーはそこに座って画面を読み、コマンドを打ち込み、次に何を盗むか、あるいは何を壊すかを決定しなければなりません。しかし、もしマルウェア自体が考えることができたらどうなるでしょうか？ ウイルスがコンピュータを見て、「おや、このポートが開いているぞ」と気づき、特定のトリックを試すことを決め、それがうまくいったかどうかを確認し、もしダメなら別のトリックを試す――これらすべてを、人間が一度もキーボードに触れることなく行うことができたら？ それこそが、この論文が投げかける恐ろしい問いです。「小さなローカルAIの脳は、コンピュータの中に隠れるほど小さく、かつ、自律的に侵入して乗っ取るほど賢くなれるのだろうか？」

トロイの木馬の中の小さな脳

この研究において、バージニア大学の研究チームは、誰かを傷つけることなく、突飛なアイデアをテストできるデジタルな「サンドボックス（砂場）」、つまり安全で隔離された遊び場を構築しました。彼らは、**小型言語モデル（SLM）によって制御されるリモートアクセス・トロイの木馬（RAT）**を構築できるかどうかを検証したかったのです。これは、どの窓をピッキングすべきか人間であるマスターに教わる必要のない、デジタルな泥棒のようなものです。代わりに、その泥棒は周囲を観察し、鍵の仕組みを見極め、それを開ける方法を編み出すための、小さなローカルな脳を持っています。

これをテストするために、彼らは「Kali（カリ）」コンピュータ（攻撃者側）と「Metasploitable（メタスポイタブル）」コンピュータ（被害者側、脆弱性が満載になるよう設計されたマシン）という2つの主要な登場人物を設定しました。攻撃者側に、dolphin3-cyber-8b（80億パラメータのモデル）というローカルAIモデルをインストールしました。このモデルは、クラウドへの接続を必要とせずに、標準的なハードウェア上で動作できるほど十分に小さかったのです。AIの役割は、RATの「脳」として機能することでした。AIがすべきことは以下の通りです：

1. 見る（Look）：被害者のコンピュータをスキャンして、どのようなサービスが開いているかを確認する（ドアの鍵が開いているかチェックするように）。
2. 考える（Think）：侵入するためにどのツールを使うべきかを決定する。
3. 行動する（Act）：侵入を試みるためのコマンドを送信する。
4. 反応する（React）：もし失敗したら、エラーメッセージを読み取り、なぜ失敗したのかを理解し、別のアプローチを試す。

結果：将来有望な、ドジな泥棒

研究者たちは、自分たちが作り出したものに「二面性」があることを見出しました。一方で、アーキテクチャは機能しています。この小さなAIの脳は、人間の助けを借りず、インターネットに接続することなく、「見る、考える、行動する」という一連のサイクルを正常に実行することができました。AIはスキャン結果を読み取り、ツールを選び、コマンドを実行することができました。「配管（仕組み）」の部分は堅実だったのです。

しかし一方で、脳はまだ非常に不器用でした。研究者がAIに対して厳格なタスクのチェックリストを完了させるよう求めたところ、成功率はわずか10.9%でした。これは、55回の試行のうち、成功したのは約6回に過ぎません。

AIは簡単な作業には長けていました。スキャン結果が、非常に明白で単一ステップのドア（例えば、ポート1524の特定の「バインドシェル」や、ポート21のFTPサービスなど）を示している場合、AIはそのまま通り抜けることができました。それは、ドアがすでに全開になっているのを見て、そのまま歩いて入っていく泥棒のようなものです。しかし、パスワードを推測したり、複雑なエラーを処理したり、失敗した後にツールを切り替えたりといった、複数のステップを必要とする仕事になった途端、AIはつまずき始めました。

論文では、AIが失敗した主な3つの要因を挙げています：

• 幻覚（Hallucinations）：AIは時として、存在しないコマンドを捏造したり、本来の意図とは異なる方法でツールを使用したりしました。
• 混乱（Confusion）：コンピュータのエラーメッセージを誤読することが多く、失敗したことを成功だと勘違いしていました。
• 頑固さ（Stubbornness）：コマンドが失敗した際、全く新しい戦略を試す代わりに、失敗したコマンドを言い換えて何度も再試行し、ループに陥ることがよくありました。

研究者たちは、これが何を意味するかを非常に明確に述べています。それは、**「コンセプトとしては可能だが、現在のテクノロジーはまだそこに至っていない」**ということです。彼らは、これが「解決済み」の問題や完璧な武器であるという考えを明確に否定しました。実際、もし人間のハッカーがこれほどの成功率（10.9%）しか持っていなければ、即座に解雇されるだろうと指摘しています。しかし、彼らは恐ろしい転換点を指摘しました。人間には報酬を支払う必要がありますが、コンピュータには必要ありません。もしこの不器用なAIを、コストをほとんどかけずに毎日何千回も走らせることができるなら、たとえ10%の成功率であっても、最終的には侵害につながる可能性があるのです。

これが未来について教えてくれること

この論文から得られる最も重要な教訓は、AIが今日、熟練のハッカーであるということではありません。それは、**「脳はまだ学習中であるが、仕組み（メカニズム）は整っている」**ということです。データを解析し、コマンドを検証し、実行するシステムは完璧に機能しました。それを阻んでいた唯一の要素は、小型モデルの推論能力でした。

著者らは、これらの小型AIモデルがより賢く、より強力になるにつれて、「ドジな泥棒」は「熟練の泥棒」へと変貌するだろうと主張しています。「できない」から「できる」への距離は、急速に縮まっています。防御側にとって、この論文は、もはや特定のコードのシグネチャ（特徴）だけを探していればよいのではないことを示唆しています。代わりに、これらのエージェントの「振る舞い」を監視する必要があります。この研究におけるAIは、ループに陥り、同じ間違いを繰り返し、奇妙なツールの組み合わせを試していました。それこそが、セキュリティシステムが注視すべき「兆候」なのです。

要約すれば、この論文は、小さなローカルAIが自律的にリモートアクセス攻撃を実行できることを証明しています。ただ、現時点ではまだ、それを上手に行うことができないだけです。しかし、テクノロジーが急速に進化しているため、人間が介在することなく、自ら考える小さなウイルスがあなたのコンピュータに侵入してくる日は、私たちが考えているよりもずっと近いのかもしれません。タイトルの「小さな（Tiny）」という言葉は、単にサイズのことだけではありません。それは、脅威がいかに小さくなり、検知を困難にし、潜伏しやすくなっているかを表しているのです。