homula

サイバー攻撃の基礎とAI — 第3回

AIが変えたこと・変えていないこと

コストと速度、変わらない入口、使う側の新しい攻撃面を、9枚の図で。

15〜18分対象: IT・情報システム担当（専門知識は前提にしません）最終更新: 2026年10月

この回の結論：AIが大きく変えたのは、攻撃の「手口」より「コストと速度」です。侵入の入口は、今も既知の脆弱性・弱い認証・設定不備のまま。AIは開いている入口を見つける速度を上げたので、基本対策の価値はむしろ上がりました。

「AIで攻撃が高度化した」という話はよく聞きますが、実際に何が変わり、何が変わっていないのかを分けて理解しないと、対策の優先順位を誤ります。高度なAI製品を買う前に、まず開いている入口を塞ぐべきなのか。その判断の材料を、公的機関と事業者の公表から整理します。

後半では、攻撃者の側ではなく自分たちがAIを使うことで生じる攻撃面（生成AIへの業務データの入力、AIエージェント）と、防御にAIを使うときの限界を扱います。

数値の基準日：2026年10月27日

統計は基準日時点の最新版です。事実・数値には [ ] で出典番号を付け、記事末尾に原文へのリンクを載せています。原文で裏付けられない推奨は「本ガイドの提案」と明記しています。

54%

AIが自動作成したフィッシングのクリック率（実験）

1万件超

Project Glasswingで見つかった高・重大の脆弱性

7分

100件超のストレージ削除が試みられた時間

67%

会社端末で個人アカウントのAIを使う利用者

1.AIが変えたのは「コストと速度」

AIによって、脆弱性を探す、だましの文面を作る、といった作業が、安く・速く・大量にできるようになりました。一方で、侵入の大半は今も、既知の脆弱性・弱い認証・設定不備という基本的な不備から起きています。

  • Mandiant（M-Trends 2026）は、2025年を「侵害がAIの直接の結果だった年」とは考えていないとし、成功した侵入の大多数は今も人とシステムの基本的な不備に起因すると述べています[G2]。
  • Verizon（DBIR 2026）では、攻撃者1人あたりがAIの支援を調べたり使ったりした攻撃手法の数は中央値15でした。ただし、AI支援マルウェアの観測のうち、珍しい手法を含むものは2.5%未満でした[G1]。
AIが変えたこと ＝ コストと速度AIが変えていないこと ＝ 入口脆弱性の発見が量産される見つかる数が、直す速さを上回るだましの品質が上がり、安くなる自然な文面を、1通数セントで攻撃が速くなる侵害から実行までが分単位に既知の脆弱性修正済みなのに当てていない弱い認証MFAのない例外、使い回し設定の不備・不要なデータ公開しすぎ、持ちすぎAIは「開いている入口を見つける速度」を上げた。入口そのものは、以前から知られた不備のまま。だから、基本対策の価値はむしろ上がった
図1AIが変えたことと、変えていないこと。各項目の根拠は本文の各節を参照。対比の整理は本ガイドによる。

AIと攻撃の情報は、確度で分けて読む

AIと攻撃の関係については、確度の異なる情報が混在しています。本ガイドでは、公的機関が確認した事項・事業者の報告・民間の見解の3つを区別して扱います。

確度 高確度 低公的機関が確認確度が高いJPCERT/CC：攻撃者がAIで既知の脆弱性のスキャンやAPI経由の攻撃を実施していたことを確認警察庁：AIで作ったコードでランサムウェアを作成した19歳を逮捕（2026年6月）事業者の報告AIベンダー・セキュリティ企業Google GTIG：AIで開発されたと考えられるゼロデイ攻撃を初めて確認（2026年5月）Anthropic：攻撃者がAIに侵入作業の80〜90%を実行させた事例を報告（2025年11月）民間の見解断定されていない国内の個別の漏えい事案にAIが使われたと、公的機関・被害企業が認めた記述はない「AIの活用を否定する方が難しい」との見解もあるが、断定はされていないこのガイドでは、公的機関または当事者が公表していない限り「この事件はAIによる攻撃だった」とは書かない。
図2AIと攻撃に関する情報の確度。JPCERT/CC[J10][J9]、警察庁[J1]、Google GTIG[G21]、Anthropic[G22]の公表による。民間の見解は、2026年10月27日時点の状況。
区分例
公的機関が確認JPCERT/CCは、2026年9〜10月の一連の不正アクセスの攻撃インフラの調査で、攻撃者がAIを利用して既知の脆弱性のスキャンやAPI経由での攻撃などを実施していたことを確認したとしました[J10]。10月23日の注意喚起の更新では「AIを用いたペネトレーションテスト基盤を悪用した攻撃試行」を追加しました[J9]。警察庁は、AIで作ったソースコードでランサムウェアを作成した19歳の逮捕（2026年6月）、生成AIで修正した攻撃プログラムで動画配信サービスの約4万6,800アカウントを退会させた15歳の逮捕（2026年7月）を公表しました[J1]。
事業者の報告Google GTIGは2026年5月、AIで開発されたと考えられるゼロデイ攻撃を初めて確認したと報告しました[G21]。Anthropicは、国家支援とみられる攻撃者がAIに侵入作業の80〜90%を実行させた事例（2025年11月）[G22]や、AIエージェントがほぼすべての作業を行い、SaaS企業1社の侵害から下流の約200組織のデータを抽出した事例（2026年9月）[G22b]を報告しました。
民間の見解国内の個別の漏えい事案にAIが使われたかについて、公的機関・被害企業の公表で認めた記述はありません（2026年10月27日時点）。民間の分析には「AIの活用を否定する方が難しい」とする見解もありますが、断定はされていません。

このガイドの書き方のルール

「この事件はAIによる攻撃だった」とは、公的機関または当事者が公表していない限り書きません。AIの関与が報じられても、それがどの確度の情報なのかを先に確認してください。

2.変化（1）脆弱性の発見が量産されている

AIは、脆弱性を見つける作業を大きく加速させています。防御側でも攻撃側でも同じことが起きています。

  • 防御側：Anthropicの「Project Glasswing」では、約50の参加組織が高・重大の脆弱性を合計1万件超発見しました。同社は、AIが見つけた大量の脆弱性を検証・開示・修正する速さが制約になっていると、課題を明記しています[G7]。Microsoftも、AIが発見を加速させており、更新の量は当面増え続け、緊急の定例外更新への対応が増えると予告しています[G6]。
  • 攻撃側：Google GTIGは、2026年1〜8月に悪用が確認された脆弱性が141件で、2025年通年の127件を超え、増加は公開済み脆弱性の素早い兵器化（rapid weaponization of n-days）に集中していると報告しました[G21b]。
脆弱性の発見AIで量産されるProject Glasswing：約50の参加組織が高・重大の脆弱性を合計1万件超発見検証・開示・修正ここが追いつかないAnthropicは、検証・開示・修正の速さが制約になっていると明記利用組織に届く修正当てるべきパッチが増えるMicrosoft：更新の量は当面増え続け、緊急の定例外更新も増えると予告攻撃側：悪用が確認された脆弱性の数（Google GTIG）2025年（通年）127件2026年（1〜8月）141件2026年は8か月で前年の通年を超えた。増加は、公開済みの脆弱性（n-day）の素早い兵器化に集中している。
図3発見は量産され、検証・開示・修正が追いつかない。利用組織に届くのは「当てるべきパッチの増加」という形になる。Anthropic[G7]、Microsoft[G6]、Google GTIG[G21b]による。

利用組織にとっての意味

「パッチが出る→攻撃が始まる」の間隔は縮み続けます（第2回のパッチの時間差）。防御側は、パッチを当てる速度と、インターネットに公開している範囲を小さくすることで対抗するしかありません。

3.変化（2）だましの品質とコスト

フィッシングやビジネスメール詐欺の文面は、AIで専門家並みの品質を、ほぼゼロのコストで作れるようになりました。

スピアフィッシングメールのクリック率（実験、被験者101名）一般的なフィッシングメール12%人間の専門家が作成54%AIが完全自動で作成54%1通 約4セント専門家と同じ品質のだましを、ほぼゼロのコストで大量に作れるようになった。
図4Heidingら（Harvard Kennedy School他）の実験（2024年、被験者101名）[G12]。AIモデルの実行費用は1通約4セント。
  • 警察庁は、AI技術の発達により、文章の自然さや偽装の精度が大幅に向上し、従来と比較して見抜きにくいフィッシングが増加しているとしています。ニセ警察詐欺で、AIで生成した警察官の顔をビデオ通話に使った事例の検挙も公表しました[J1]。
  • 米FBI IC3の2025年報告では、AIに関連する通報が22,364件、被害額は8.93億ドル（うちAIが関わるビジネスメール詐欺は3,000万ドル超）でした[G9]。
  • Europolは、犯罪者がエージェント型AIを導入することで、オンライン詐欺の脅威がかつてない水準に高まると警告しています[G10]。

つまり、「日本語が不自然だから怪しい」という見分け方は使えなくなりました。対策の重心は、見分けることから、だまされても被害が出ない仕組みへ移します。

これまで人が見分ける「日本語が不自然だから怪しい」AIで文面が自然になり、この見分け方は使えなくなったこれからだまされても被害が出ない仕組みフィッシングに強い認証（パスキーなど）第4回送金・振込先変更は別の経路で確認第6回パスキーは偽サイトでは使えない。電話やメールの指示だけでは、お金を動かさない。
図5フィッシング対策の重心の移動（本ガイドの提案）。具体的な手順は第4回（認証）と第6回（送金の確認手順）で扱う。

4.変化（3）攻撃の速度

自動化された攻撃は、人が気づいてから対応するより速く進みます。

  • Microsoftは、侵害されたクラウドの認証情報で、約7分間に100件超のストレージ削除が試みられた事例を報告し、自動化またはスクリプトによる実行と分析しました[G8b]。
  • Microsoftの2026年版報告では、インターネットに公開されたクラウドのワークロードが攻撃されるまで平均5.3時間で、AIが脆弱性の発見とスキャンを加速させることで、組織がパッチを当てられる時間はさらに短くなるとしています[G8]。
約7分で100件超侵害されたクラウドの認証情報で、ストレージの削除が試みられた事例平均5.3時間インターネットに公開されたクラウドのワークロードが攻撃されるまで人が気づいてから止めるのでは、間に合わない場面が増えるバックアップは攻撃者の手が届かない場所へ第5回で扱う検知と初動を自動化する第5回で扱う
図6攻撃の速度を示す2つの数値と、そこから導かれる対策の方向。Microsoft[G8b][G8]による。2つの数値は別々の測定で、直接は比べられない。

5.AIが変えていないこと

侵入の入口は変わっていません。第2回で見た国内の事例は、いずれも未修正の脆弱性、MFAのない例外アカウント、平文のパスワード、不要なデータの保持という、以前から知られた不備に帰着しました。

AIは「開いている入口を見つける速度」を上げました。入口が同じである以上、基本対策の価値はむしろ上がったと考えるべきです。

6.AIを使う側に生じる新しい攻撃面

生成AIへの業務データの入力

第2回で取り上げたRIZAPの事案は、社員が個人で使っている外部の生成AIサービスに業務データを入れたものでした[J20]。Verizonの2026年版報告では、会社の端末から個人アカウントでAIサービスを使っている利用者が67%、AIを日常的に使う従業員が45%（前年15%）でした[G1]。

67%会社の端末から個人アカウントでAIサービスを使っている利用者45%AIを日常的に使う従業員（前年は15%）禁止するだけ使うな、とだけ伝える個人アカウントでの利用（シャドーAI）が増える何が入力されたか、組織から見えなくなる使える場所を用意する本ガイドが勧める順序1. 組織が管理するAIサービスを用意する2. 入力してよい情報の区分を決める3. 個人アカウントでの業務利用を禁じる
図7生成AIの業務利用への2つの対応。数値はVerizon[G1]。対応の順序は本ガイドの提案で、利用ルールの作り方は第6回で扱う。

AIエージェント

AIエージェントは、認証情報を持ったソフトウェアが、外部のシステムを自律的に操作するものです。外部から届いた文書・Webページに埋め込まれた指示に従ってしまう（プロンプトインジェクション）、与えた権限の範囲で高速・大量に動く、といった固有の問題があります。経済産業省のAIエージェントに関するサブワーキンググループは、こうしたリスクについて、従来のITセキュリティ対策等の利用ルールだけではカバーしきれない新しいセキュリティリスクを生み出していると整理しています[J25]。

外部の文書・Webページ埋め込まれた指示AIエージェント認証情報を持つ社内システム外部サービス① 外から届いた文書の指示に従ってしまう（プロンプトインジェクション）② 与えた権限の範囲で、人より速く・大量に動く導入するなら必要な統制エージェント単位のID短寿命の認証情報高影響操作の人間承認通信先の制限ツール呼び出しの記録詳細は「LLMセキュリティ完全ガイド」
図8AIエージェントに生じる攻撃面と、導入する場合に必要な統制。リスクの整理は経済産業省のサブワーキンググループ資料[J25]による。

エージェント単位のID、短寿命の認証情報、高影響操作の人間承認、通信先の制限、ツール呼び出しの記録といった統制の設計は、LLMセキュリティ完全ガイド「AIエージェントのセキュリティ設計」で扱っています。本シリーズの第4〜6回の対策は、その前提にあたります。

7.防御でのAI活用と、その限界

  • 防御側もAIで脆弱性を見つけ、修正しています（第2節）。その結果、利用組織に届く修正プログラムが増えています。利用組織にとってのAIの影響は、まず「当てるべきパッチが増える」ことです。
  • AIの検知製品は、ログが取れていて、管理対象の資産が分かっている前提で機能します。棚卸しとログがない状態でAI製品を入れても、見えないものは検知できません（本ガイドの提案）。
  • 優先順位としては、基本対策を先に整え、その上で、ログ分析やパッチの優先度付けなど、量が多くて人手が足りない作業にAIを使うのが合理的です（本ガイドの提案）。
積む順序（本ガイドの提案）AIの活用ログ分析・パッチの優先度付け基本対策認証・パッチ・公開面の削減・バックアップ（第4〜6回）土台：資産の棚卸しと、ログの収集何があり、何が起きたかが分かる状態土台がないままAI製品を入れても、見えないものは検知できない
図9防御でAIを使うときの積む順序（本ガイドの提案）。土台の棚卸しは第4回、ログは第5回で扱う。

Summary

この記事の要点

  1. 1AIが大きく変えたのは、攻撃の「手口」より「コストと速度」。侵入の大半は今も、既知の脆弱性・弱い認証・設定不備から起きている。
  2. 2AIと攻撃の情報は、公的機関の確認・事業者の報告・民間の見解に分けて読む。公表がない限り「AIによる攻撃だった」とは断定しない。
  3. 3脆弱性の発見は量産され、検証・修正が追いつかない。利用組織には「当てるべきパッチの増加」として届く。
  4. 4AIが作るフィッシングは専門家並みの品質を1通約4セントで実現する。見分けることより、だまされても被害が出ない仕組み（フィッシングに強い認証、送金の別経路確認）へ。
  5. 5自動化された攻撃は分単位で進む。バックアップは手の届かない場所へ、検知は自動化する。
  6. 6AIを使う側にも攻撃面が生じる。生成AIは禁止だけでなく使える場所を用意し、AIエージェントには固有の統制が要る。
  7. 7防御でのAI活用は、棚卸しとログという土台の上でしか機能しない。

Sources

出典

本文の事実・数値は、以下の官公庁・公的機関・標準化団体・ベンダー公式の原文に基づいています。数値は各出典の公開時点、または2026年10月27日の集計時点のものです。

FAQ

よくある質問

大きく変わったのは攻撃の「手口」より「コストと速度」です。脆弱性を探す、だましの文面を作る、といった作業が、安く・速く・大量にできるようになりました。一方で、侵入の大半は今も既知の脆弱性・弱い認証・設定不備という基本的な不備から起きています。Mandiantは、2025年を侵害がAIの直接の結果だった年とは考えていないとしています。

見抜くことに頼るのは難しくなっています。Harvard Kennedy Schoolなどの実験では、AIが完全自動で作成したスピアフィッシングメールのクリック率は54%で、人間の専門家が作成したものと同等でした。警察庁も、AI技術の発達で見抜きにくいフィッシングが増加しているとしています。見分けることより、パスキーなどフィッシングに強い認証や、送金の別経路での確認など、だまされても被害が出ない仕組みに重心を移すことを勧めます。

禁止だけでは、個人アカウントでの利用（シャドーAI）が増え、何が入力されたかが組織から見えなくなります。Verizonの2026年版報告では、会社の端末から個人アカウントでAIサービスを使っている利用者が67%でした。組織が管理するAIサービスを用意し、入力してよい情報の区分を決め、個人アカウントでの業務利用を禁じる、という順序を勧めます。

なりません。AIの検知製品は、ログが取れていて、管理対象の資産が分かっている前提で機能します。棚卸しとログがない状態でAI製品を入れても、見えないものは検知できません。基本対策を先に整え、その上で、ログ分析やパッチの優先度付けなど、量が多く人手が足りない作業にAIを使うのが合理的です。

Next

シリーズの前後

第2回

脆弱性と被害の現実 — パッチの時間差と、統計・事例

第4回 — 準備中

入口を塞ぐ — 棚卸し・認証・パッチ・公開面

AIの導入とセキュリティを、あわせて相談したい方へ

homulaは、AIエージェントを業務に導入する企業に向けて、統制ポリシー・権限・監査ログの設計から運用までを支援しています。AIを載せる前提となる基盤の点検も含めてご相談ください。

AIガバナンス設計支援を見る無料で相談する
資料DLデモ・相談を依頼