10月11日から12日にかけての夜、フランスの数百のスーパーマーケットで冷蔵システムが新たな指示を受け取り、それに従いました。
攻撃者は冷蔵コントローラーを乗っ取り、ユニットを連続霜取りの状態に固定して、温度を約50°Cまで上昇させました。朝までに、それらの店舗の冷蔵・冷凍食品はだめになっていました。被害を受けたフランスの店舗は最大700店にのぼると報じられ、名前が挙がったチェーンには Intermarché や Carrefour も含まれます。損失は数百万単位に達しました。
中心にあったコントローラーは、デンマークの産業機器メーカー Danfoss 製の冷蔵用レギュレーターで、AK-SM 800 や AK-SC 355 も含まれていました。Danfoss 自身の声明によれば、影響を受けた機器の大半は、古いソフトウェアで動作している旧製品か、サポート期間を過ぎた製品でした。
そして11月2日、同じことが再び起きました。ベルギー、ルクセンブルク、スウェーデン、エストニア、アイルランドの小売業者から、同じ霜取りの手口による第2波の温度急上昇が報告されたのです。
誰もドアを破っていません。破る必要もありませんでした。機械はネットにつながり、指示を待ち受け、言われたとおりに動いたのです。
実際に何が失敗したのか
見出しを取り払えば、この攻撃はほとんど退屈なほど単純です。だからこそ重要なのです。
冷蔵コントローラーは、重大な物理的動作を実行する能力を持つ、インターネットにつながったマシンでした。今回の場合、それは一晩で店舗の冷蔵在庫をすべて台無しにするという動作です。コントローラーは、誰が指示を出しているのか、その指示が認可されたものなのかを実質的に検証することなく、遠隔からの指示を受け入れました。重要なコマンドについての認可の記録はなく、その場でも事後でも、「誰がそうしろと言ったのか、そしてその人にはその権限があったのか」という基本的な問いに答えられるものは何もありませんでした。
弱点も秘密ではありませんでした。Claroty の Team82 は8月、Danfoss のコントローラーの欠陥に関する調査結果を公表しており、その中には攻撃者に管理者アクセスを与えうる隠しログインも含まれていました。攻撃者がどの弱点を使ったのかは調査担当者も確認できていませんが、この種の問題は攻撃の2か月前には公になっていました。そしてそれは、誰も継続的に監視していないレガシーシステムの中に放置されていました。ほとんどの環境では、継続的に監視することが誰の仕事でもないからです。インベントリが作られ、レポートが提出される。環境は変わり続けますが、レポートは変わりません。
従来のセキュリティが見逃す理由
従来のセキュリティモデルは、もっとゆっくりと動く世界のために作られました。年に一度の評価、ある時点のペネトレーションテスト、印刷して保管される資産インベントリ。これらの成果物はいずれも、作成されたその日から古くなり始めます。つながった環境（クラウドアカウント、SaaS、デバイス、そして今ではソフトウェアエージェント）は毎日変化し、攻撃者は次の定期レビューを待ってはくれません。
昨年のインベントリで「許容可能なリスク」だったコントローラーが、今年の見出しになります。8月に公表された弱点が、10月には武器になります。ある時点のセキュリティでは動く標的を捉えられず、推測によるリスクスコアでは、既知の穴が自社の環境で実際に到達・悪用可能なのか、理論上の話にすぎないのかを判断できません。評価と攻撃のあいだのギャップこそ、現代のインシデントが生まれる場所です。
Redthread はこのパターンとどう戦うか
Redthread は AI ネイティブのアプリケーション保護プラットフォームであり、2つの信念を軸に作られています。セキュリティは継続的でなければならない。そして、検出結果は実証されていなければならない。
当社の評価プラットフォームはエージェント不要を基本としており、使い始めるために環境に何もインストールしません。まず、運用しているすべてのもの（アプリケーション、コード、クラウドアカウント、マシン、アイデンティティ、そしてそれらが到達できるデータ）をひとつのコンテキストグラフにまとめ、Redthread Flow に表示します。そこでは攻撃経路が深刻度順にランク付けされ、正直にラベル付けされます。「実証済み」は当社のエンジンがその経路上のステップを実行して確認したことを、「潜在的」は設定上は存在するものの実行はしていないことを意味します。すべてのモジュールが、この同じマップをもとに動作します。
年に一度のスナップショットではなく、継続的に評価します。接続はあえて退屈なほど簡単にしています。ウェブサイトには認証情報が不要で、GitHub はワンクリック、各クラウドは読み取り専用でワンクリック接続、エンドポイントセンサーはコマンド1つでインストールでき、監視するだけで決してブロックしません。スキャンは、誰も登録していないシャドーAI や露出したシステムを含め、実際に運用しているものを発見し、クラウドのポスチャと機密データストアをマッピングし（DSPM）、クラウドをまたぐ攻撃経路を構築します。そのため、リスクは個々の検出結果の件数ではなく、攻撃者が環境内を実際にどう移動できるかによってランク付けされます。プラットフォームが脆弱性を報告する場合は、それを実際にエクスプロイトして再現可能な PoC を作成することで検証します。推測によるスコアではなく、穴が本物であることの証明です。CI/CD ゲーティングは新たな実証済みの攻撃経路をリリース前にブロックし、継続的な再評価がデプロイ後の変化を捉えます。そして修復支援と証明書（Letter of Attestation）が、貴社のチームと、顧客のセキュリティレビュー担当者に、検証に耐える証拠を提供します。
当社の2つ目の製品である Agentic Trust & Protection Platform（ATPP、 trust.redthreadsec.com）は、この失敗パターンが次に向かう先に対処します。冷蔵コントローラーは、指示に従って動く機械でした。AI エージェントは、指示に従って動く新しい機械です。ただし、どんな冷蔵庫も及ばない規模と速度で、閲覧し、購入し、コードを書き、データを動かし、ツールを呼び出します。ATPP はすべてのエージェントにビルドに紐付いた暗号学的アイデンティティを与え、アイデンティティとツールの主張を呼び出し時に（事後のレポートではなく、行動の瞬間に）検証し、誰が何を許可したのかを証明する委任レシートを発行します。ツールが承認された状態から逸脱すると、失効が伝播します。そしてエージェントのサプライチェーンはすでに現実に悪用されているため、当社は MCP レジストリ全体の日次署名付きスキャンを実行し、毎日の署名付きマニフェストを公開の Sigstore Rekor 透明性ログに固定しています。これにより、当社の主張も検証できます。11月2日のスキャンでは、公式 MCP レジストリの 55,375 件のサーバーを対象に、1,518 件の掲載すり替え（同じ名前のまま、掲載の背後にあるコードの持ち主が替わったもの）を検出しました。これらのシグナルに基づいてインラインで動作する強制ゲートウェイはプレビュー中ですが、アイデンティティ、検証、証拠の層はすでに稼働しています。
スーパーマーケットが突きつけられた問い、「誰がこの機械にそうしろと言ったのか」は、まもなくすべての企業の AI 導入に対して問われることになります。当社は、その問いに答えられる層を構築しています。
私たちと一緒に作りましょう
当社は本番システムを持つ若い会社であり、明確な信念を持っています。これからの10年のセキュリティは、機械にパッチを当てるだけでなく、機械を検証することにある、という信念です。この技術を当社とともに現場で鍛えたいチームに向けて、2〜3社の創業デザインパートナー枠を募集しています。パイロットは30〜45日間無料で、いま参加するパートナーには、大幅に割り引かれた創業パートナー価格が固定で適用されます。
あるいは、もっと手軽に始めましょう。 無料のセルフサービス環境スキャン を実行し、継続的で実証に基づく評価が貴社の環境で何を見つけるかを確かめてください。機械はすでに指示を受けています。 その指示が貴社のものであることを、確かめてください。