サイバーセキュリティ企業Varonis Threat Labsは2026年7月23日、サイバー犯罪フォーラムで新たに出回っているリモートアクセス型マルウェア「Dolphin X」を分析し、感染端末を自動的にスコアリングして攻撃対象の優先順位を付ける「AI Profiler」機能が組み込まれていることを明らかにした。攻撃者は"Kontraktnik"というハンドル名でこのツールを「オールインワンRAT」として販売しており、操作パネルには10カテゴリ・329機能が用意されているという。

Dolphin Xの正体と「AI Profiler」の仕組み

Varonisのリサーチャー、Daniel Kelley氏によると、Dolphin Xの操作パネルには「サーベイランス」タブがあり、その中に「AI行動プロファイラー、アプリ使用状況トラッキング、リスクスコア、日次サマリー」と説明されるAI Profilerが存在する。感染端末のアプリケーション使用状況、リスクスコアとタグ、閲覧ドメイン、インストール済みソフトウェアといった情報を処理し、ランク付けされたプロファイルを日次サマリーとして攻撃者に提供する仕組みだ。

Varonisは実際に稼働するDolphin Xエージェントを感染端末上で動作させたわけではなく、隔離環境でビルダーとネットワークトラフィックのみを分析した。それでも"Auto-Start AI Profiler"、“ProfilerGetData”、“risk_score”、“risk_factors"といった文字列がコード内に確認されており、プロファイリング機能自体は実装されていると見られる。ただし、どのAIエンジンがランキングを生成しているかまでは特定できていない。

Dolphin Xは同時に強力な認証情報窃取機能も持つ。Chromium系・Gecko系ブラウザ9種、暗号資産ウォレット拡張機能100種、デスクトップ版ウォレット65種、パスワードマネージャー10種、クラウドCLIツール30種以上など、300超のアプリケーションを標的にすると謳う。加えて.envファイル、SSHキー、クラウドアクセストークンといった開発者向けの機密情報も窃取対象に含まれる。ただしこれらの収集能力も、Varonisが独立して検証したものではない点には注意が必要だ。

実務への影響

このニュースが示す本質は、「大量に盗んだ認証情報の中から、どれが金になるかを人間の代わりにAIが選別する」という分業の効率化だ。攻撃者はこれまで数百・数千件の盗難データを手作業でふるいにかけていたが、AIによるトリアージが実用段階に入れば初動対応までの時間はさらに短くなる可能性がある。

日本のIT現場にとっての教訓は明確だ。第一に、.envファイルやSSHキー、クラウドCLIの長期有効なアクセストークンを開発端末にそのまま置いておく運用は、これまで以上にリスクが高い。第二に、万一感染しても被害を「価値の低いもの」にとどめる設計、つまり認証情報そのものの価値を下げる仕組みが重要になる。具体的には、長期有効なAPIキーではなくJIT(Just-In-Time)で発行される短命トークンへの切り替え、シークレットのVault管理、そしてクラウド管理者権限の常時付与をやめることだ。攻撃者のAIがどれだけ賢くランク付けしても、盗める権限が最小化・短命化されていれば「高スコア」の対象にはなり得ない。

筆者の見解

正直に言うと、この手のセキュリティニュースを細部まで追いかけるのは得意な方ではない。ただ今回のDolphin Xの話は「AIが何をするか」よりも「攻撃者が何に困っていたか」を教えてくれる点で技術的に興味深い。大量の盗難データから高価値ターゲットを探す作業は、防御側のSOC運用が抱える"アラート疲れ"と本質的に同じボトルネックを攻撃側も抱えていたということだ。それをAIで解消しようとしているのは、防御側がAIでトリアージを効率化しようとしているのと表裏一体の構図だと思う。

そして結局のところ、この話は「常時アクセス権を持つ認証情報がどれだけ環境に転がっているか」という、以前から繰り返し指摘してきたゼロトラストの原則に戻ってくる。攻撃者のAI Profilerが高スコアを付けるのは、クラウド管理者権限や本番環境への常時アクセス権を持つアカウントだろう。逆に言えば、Just-In-Timeアクセスを徹底し常時アクセス権をなくしてしまえば、たとえ端末が感染しAIにスコアリングされても、そこに「高価値」と呼べるものは残らない。攻撃側がAIで効率化するなら、防御側は権限設計そのものでその効率化を無力化する。地味だが、これが一番効くはずだ。

出典: この記事は New Dolphin X malware uses AI to rank high-value targets の内容をもとに、筆者の見解を加えて独自に執筆したものです。