「くろこちゃん、ルーターをハックして」でRCE全探索させたらほんとに見つけちゃった話

私はプログラマでも、セキュリティエンジニアでもない。コードはほとんど書かないし、読んでもよく分からないことの方が多い。それでも、古い機械や変わった端末をつないで遊ぶのは好きだ。最近はそこにAIが加わって、ずいぶん変なことができるようになった。

今回のおもちゃは、SoftBank Air ターミナル6。中身はOpenWrt系らしい。しかし普通にSSHで入れるわけではないし、メーカーがLinuxのシェルをユーザーに開放しているわけでもない。とはいえ、せっかくLinuxが動いているなら、中を見てみたい。そこで、いつもの調子でAIに頼んだ。

「くろこちゃん、ルーターをハックして。コマンドを実行できそうなところ、全部調べて」

もちろん、こんな雑な日本語である。

くろこちゃんに「手」をつけた

くろこちゃんは、うちで24時間動かしているAIエージェントだ。といっても、ものすごい設備があるわけではない。今回の実験環境は拍子抜けするほど単純で、Raspberry Pi 2（raspi2）とターミナル6をLANケーブルでつないだだけだった。特別なデバッグ機材も使っていない。

raspi2はターミナル6と有線LANで通信する。一方、raspi2自身の管理経路はWi-Fiで自宅LANにつながっている。つまりターミナル6側のネットワークをいじって多少おかしくなっても、Wi-Fi側からraspi2へ入り直せる。実験対象への経路と、AIを管理する経路を分けてあるわけだ。

AIはraspi2へSSHし、そこを足場にしてターミナル6を調べる。考えてみれば、AIにラズパイを一台つないだだけなのだけれど、これがかなり大きかった。画面の向こうで質問に答えるだけだったAIに、「実際の機械を調べに行く手」が生えた。

「全部調べて」で、本当に全部調べ始める

ターミナル6にはメーカー純正のWeb管理画面がある。くろこちゃんは、そのWeb UIの入力欄やAPI、バックエンドの挙動を順番に調べていった。どんな値が入力できるのか、その値が内部でどう処理されているように見えるのか、変な反応をする場所はないか。候補を一つずつ潰していった。

私は横から「そこ怪しい？」「じゃあ確認して」「本当にそう？」と言っているだけである。人間が手作業でやったら途中で飽きそうな探索でも、AIは飽きない。候補を洗い出し、優先順位をつけ、結果をログに残し、違えば次を試す。そして、本当に見つけた。

メーカー純正Web UIのある入力経路から、意図しないコマンド実行につながる場所があった。しかも実行主体はrootだった。ターミナル6は開けていない。ファームウェアも書き換えていない。UARTもJTAGもつないでいない。

横にいるのは、LANケーブル一本でつながったRaspberry Pi 2だけ。いや、本当に見つけるんかい（笑）。

「くろこちゃん、中にsshdを立てて」

RCEを見つけて、欲が出る。毎回Web UI経由でコマンドを一つずつ実行するのは面倒だ。それなら、普通にSSHで入れるようにしてしまえばいい。そこで、また雑に頼んだ。

「くろこちゃん、中にsshdを立てて」

すると、本当に立てた。しばらくすると、ターミナル6へ普通にSSHで入れるようになった。この瞬間が、個人的にはRCE発見そのものより大きかった。それまでターミナル6は、「設定画面のある白い箱」だった。それが突然、LANの向こうにいる一台のLinuxマシンになった。

以後は毎回Web画面を経由する必要がない。AIがSSHで中に入り、ファイルを読み、設定を確認し、ログを集め、実験できる。家電が、研究機になった。

RCEを見つけた後の方が長かった

面白いのは、RCE発見がこの話の終点ではなかったことだ。SSHで入れるようになると、今度はOpenWrt内部の設定を調べ始めた。Wi-Fi 7やEasyMeshを触り、5G modemの状態を調べ、USBまわりを掘り始めた。そのうちUSB gadgetを触り、WindowsとUSBネットワーク接続できないかという話になった。

ところが標準カーネルでは欲しいドライバが足りない。ではどうするか。答えは、いつものように雑だった。

「くろこちゃん、ドライバ作って」

またこれである。私はLinuxカーネルドライバを書けない。ところがAIは、ターミナル6のカーネルやvendor moduleを調べ、必要なABIを追い、ソースを書き、クロスビルドし、実機へ持って行ってロードするところまで進めてしまった。話がだいぶおかしな方向へ走り始めた。

もちろん一発では動かない。USBがHigh-Speedに落ちて350Mbpsしか出なかったり、候補ドライバが期待通りに動かなかったり、管理経路が切れたりする。失敗するたびにログを読み、原因候補を絞り、次を試す。成功したものだけでなく、失敗もそのまま次の実験材料になる。

現在はWindowsとターミナル6をUSBでつなぎ、独自CDC-NCMドライバで1.6Gbpsを超えるところまで来ている。受信側では2Gbps目前まで来た。最初は「中に入れないかな」だった話が、いつの間にかLinuxカーネルドライバの性能改善になっている。

私はコードを書いていない

ここは結構重要だと思っている。私は途中でプログラマになったわけではない。今でもコードはほとんど書かない。LinuxカーネルのCコードを自分で読み解いて実装しているわけでもない。

私がやっているのは、「これできる？」「調べて」「本当にそう？」「じゃあ次を試して」「証拠を残して」ということが中心だ。AIがコードを書く。AIが実機で試す。AIがログを読む。私は、その結果を見て次に何を調べるかを決める。

以前なら、Linuxカーネルの知識やC言語の経験がない時点で、こんな実験は最初から候補に入らなかったと思う。ところが今は、「分からないからできない」ではなく、「AIに調べさせながら進めてみる」が成立してしまう。これはかなり感覚が変わる。

AIに何を聞くかより、何につなぐか

今回いちばん面白かったのは、AIが突然ものすごく賢くなったことではない。AIを実物につないだことだった。raspi2へSSHできて、そのraspi2がターミナル6へLANケーブルでつながっている。ただそれだけで、AIは「ルーターについて説明する存在」から、「ルーターを実際に調べる存在」へ変わった。

Web検索だけなら、公開されている情報の中しか歩けない。でも実機につながっていれば、「この設定を読む」「このログを見る」「この通信を測る」「この候補を試す」ができる。答えを知っている必要すらない。分からなければ、見に行けばいい。

これは私にとって、AIの使い方がかなり変わった瞬間だった。AIに何を質問するかだけではなく、AIを何につなぐか。Raspberry Pi 2は、その境界を越えるための小さな橋になった。

そしてちょっと怖い

一方で、今回かなり実感したこともある。脆弱性探索という作業そのものの敷居は、かなり下がっている。私はセキュリティエンジニアではない。それでも「全部調べて」と頼み、AIに十分な観測手段を与えたら、実際にrootでコマンドが動く経路まで到達してしまった。

だから、この記事では具体的な攻撃用payloadや、そのままコピーして侵入できる手順は載せない。現役で使われている通信機器だから、そこまで公開する必要はないと思っている。面白いのは「どう攻撃するか」より、「AIに実機を触らせると、こんなところまで調査できるようになった」という部分だ。

RCEそのものを見せびらかすことが目的でもない。むしろ、その入口から先で何ができるようになったのかの方が、この話ではずっと面白い。

たぶん、これからもっと変なことができる

最初にやったことは、本当に単純だった。Raspberry Pi 2とターミナル6をLANケーブルでつなぐ。Raspberry Pi 2の管理経路はWi-Fiへ逃がしておく。そしてAIに言う。

「くろこちゃん、ルーターをハックして」

数時間後、「rootでコマンド実行できました」。さらに、「くろこちゃん、中にsshdを立てて」「立てました」。……ほんとにやるやつがあるか（笑）。

でも、たぶん面白いのはここからだ。AIに何を聞くかではなく、AIに何を触らせるか。古いスマホでも、ルーターでも、USB機器でも、センサーでもいい。AIにラズパイを一台つないだだけで、家の中の機械が全部「調べられる対象」になり始めた。

これは、かなり大きな変化なのかもしれない。

最後までお付き合いいただきありがとうございました！

こちらの記事もおすすめ