Cl0pはアプリの内側からWindchillを奪った――PTCは同じ扉をAIエージェントに開きつつある

紙の上では侵入事件、ログの上ではアプリケーションの通常稼働に見えた。今夏、PTCのWindchillとFlexPLMを狙ったCl0pの攻撃者たちは、セキュリティモデルを打ち破ったのではなく、借り受けた。ウェブシェルがWindchill自身のクラス(MethodContext、WTConnection、WTKeyStoreUtil)を取り込み↗、製品本来のサービス識別情報の下でデータベースに問い合わせた。さらにアプリ自身のキーストアを使ってLDAPのマネジャーパスワードを復号し、ファイル保管庫の中身をflst.txtという一覧(マニフェスト)に書き出した¹²。

盗みはソフトの正常動作に見えた

こうした設計ゆえに、今回のキャンペーンはありふれたランサムウェアの事件記事とは一線を画す。保管庫の中で何かひとつ起きても、通信は製品正規のデータベース識別情報を帯びており、ほとんど検知できない²。しかも把握されたのは、発行し直せる顧客記録ではなく、価値の失効しない設計図面、部品表(BOM)、施設の試験報告書だ³。

名指しされた顧客が当面の費用を負う

Cl0pはシェル、GE、フィリップスを含む43の組織を名指しした↗³。犯行グループが図面やプロジェクト計画89ギガバイトの窃取を主張したのを受け、シェルは「潜在的なインシデント」を調査中である↗と明らかにした⁴。フィリップスとファイサーブは、データが持ち出された証拠は見つからなかったとしている。7月20日からは、被害組織内の数百人のユーザーのもとに恐喝メールが届いた¹。フォレンジック調査、認証情報の入れ替え、輸出管理上のリスクの有無――これらを引き受けるのはベンダーではなく顧客企業だ。

商業リスクはPTCが抱える

7月29日に発表した四半期の売上高は6億0005万ドルと、前年同期比6.8%減で、市場コンセンサスの6億1162万ドルに届かなかった⁵。PTCは会計第4四半期の1株当たり利益(EPS)を1.63~2.21ドル(幅58セント)とする見通しを示しており、実績は11月に発表される⁵。株価は年初来20.72%下落し、9月21日にはFTSEオールワールド指数から除外された⁶。

この落ち込みを今回の侵害と結びつける記録は何もない。米オッペンハイマーは9月11日の時点で、成長率や顧客維持率、価格設定をめぐる投資家の議論をすでに伝えていた⁶。ただ、資金は売りと買いの双方で動いている。米下院議員の家族財団が8月31日、5万0001~10万ドル相当のPTC株を売却した↗ ⁵一方、買い手も契約を結び続けた。Fisicaは一連の攻撃のまっただ中だった9月15日、CreoとWindchillを導入している⁶。

PTCは同じ「信頼の扉」をAIエージェントにも開く

ここに注目すべき転換点がある。ウェブシェルはWindchill自身のサービス識別情報の下で動いていた。だからこそ、悪用された拡張面は、PTCがいま製品化しつつあるパターンと同じものだ¹²。いずれの場合も、製品の外で作られた何かが、製品自身の権限で製品の中で動いている。

8月13日、PTCがOnshape FeatureScript MCPサーバーを公開↗し、CAD用スクリプト言語をMCP(Model Context Protocol)経由でClaude、ChatGPT、Geminiに開放した⁸。9月27日にはVeloticがThingWorx 10.2にAIアシスタントとMCPサーバー、エージェントサービスを追加し⁹、9月29日にはENCYがOnshape用コネクターをリリースした。同じプラットフォームの上に構築を進める第三者企業である¹⁰。

いまやボトルネックは知能ではなくアイデンティティーだ

これはAIに対する反対論でも、エージェントに対する反対論でもない。教訓が「減速せよ」ということでもない。今こそ誰もが、こうしたツールを使って構築することを学ぶべきだ。教訓はもっと限定的なものだ。

ひとたびソフトウェアが製品そのものとして製品の中で動けるようになれば、アイデンティティーと権限管理は単なる裏方ではなく、勝負のすべてとなる。

PTCのエージェント機能に脆弱性があると示されたわけではない。だが、それが問題の核心でもない。信頼されたチャネルに本物のアイデンティティー統制を組み込む開発者だけが、AIエージェントにできることと、企業が安全に運用できることとのギャップを埋められる。報われるべきは、その開発者だ。

PTCはいま、自らのAI戦略とPLM(製品ライフサイクル管理)事業の顧客維持率がともに持ちこたえることを証明しなければならない。その間、顧客の側は、製品そのものを一直線に貫いていた扉のコストを負担し続ける。