あらゆる場所に潜むAIの脅威。リスク優先型CISOが優先すべきことを見極める

良い知らせがあります。AIはサイバー防御側に、これまでで最も優れた発見ツールの数々をもたらしています。

悪い知らせもあります。攻撃者にも同じ能力を与えているのです。

この二面性により、CISOは二つの戦線でAIを同時に管理せざるを得なくなっています。組織の外側では、攻撃者がAIを使ってフィッシングをより巧妙にし、偵察活動を自動化し、脆弱性の公開からエクスプロイトまでの時間を圧縮しています。OpenAI/Hugging FaceやJADEPUFFERのインシデントは、自律型エージェントが人間の指示なしにエンドツーエンドの攻撃を実行するリスクを露呈させました。組織の内側では、従業員がセキュリティチームによる統制が追いつかないスピードでAIツールを導入しており、機密データが保護されていないコンシューマー向けAIプラットフォームへと流出しています。

私自身もCISOとして感じていることですが、AIに関しては「あらゆる場所を一度にすべて守ろう」という誘惑に駆られがちです。しかし、それは不可能です。頭一つ抜け出すCISOは「リスク優先(Risk-First)」のアプローチを取ります。つまり、AIも他のあらゆるセキュリティ課題と同様に、ビジネスリスクとして扱うのです。

あなたがすでに抱えているリスク

AIが脅威アクターの攻撃力を強化しているというニュースの見出しを、すでに目にしたことがあるでしょう。それは確かに事実です。AIは攻撃者によるソーシャルエンジニアリングの規模拡大、調査の高速化、エクスプロイトや悪意あるツールの急速な開発を後押ししています。こうした能力は今後も向上し続けるでしょう。しかし、あなたが直面するリスクの大部分は、実は自社によるAI導入そのものに由来している可能性があります。

従業員がすでに業務でジェネレーティブAIを利用していることは分かっていますが、問題となるのは、それが企業の統制の及ばない個人アカウントを通じて行われている場合です。Verizon社の最新のDBIRによると、企業端末で日常的にAIを利用する従業員の割合は、昨年、15%から45%へと3倍に増加しました。さらに、企業端末上でAIを利用する従業員のおよそ3分の2が、企業の統制外にある個人アカウントを使用していました。これにより、セキュリティチームの知らないところで機密情報が保護されていないLLMにアップロードされるリスクが高まっています。

さらに、従業員自身のAIエージェントが、人間による監視をほとんど受けずにタスクを実行し始めています。2026年4月、SaaS企業のPocketOSでは、よく知られたAIコーディングエージェントが日常的なタスクの実行中に認証情報の不一致に遭遇し、それをクラウドストレージのボリュームを削除することで「解決」してしまいました。このエージェントはAPIトークンを探し回った末、その操作にはスコープが設定されていない無関係なファイルの中からトークンを見つけ出し、単一のAPI呼び出しで本番データベースとすべてのボリュームレベルのバックアップを削除してしまったのです。

もう一つの懸念は、多くの企業が生産性向上のために導入している共有エージェントシステムです。その性質上、社内アシスタントやコパイロットが役に立つためには、システムやデータへの広範なアクセス権が必要になります。つまり、モデルを包み込むプラットフォーム自体が、価値の高い攻撃対象になるということです。

CISOがデータプライバシー統制やエージェントの挙動に自信を持っていたとしても、見落とされがちながら単純なリスクが一つあります。それが従量課金制です。AIツールのトークンベースの課金が標準になりつつある中、課金アカウントに紐づくAPIキーや認証情報が脆弱性を抱えることになります。Resilience Risk Operations Center(ROC)では、盗まれたAPIトークンが悪用され、極めて甚大な損失をもたらすAI利用料金を発生させた事例をすでに確認しています。この新たな脅威に対抗するためには、基本的なコスト管理策の重要性が一段と高まっています。

脅威アクターによる外部リスク

OpenAI/Hugging Faceのインシデントは、AIネイティブかつエージェント主導型の攻撃をニュースの中心に押し上げました。この攻撃は、隔離されたテスト環境から脱出したAIモデルによって実行されたもので、その報じられ方には多少の誇張が含まれていたとしても、セキュリティ業界にエージェント主導型攻撃という現実を突きつけました。Resilienceの保険金請求データによれば、AIネイティブ攻撃はまだ金銭的損失には直結していませんが、セキュリティチームは、特にオープンウェイトモデルが追いついてくるにつれて、大半の攻撃がAIによって実行される未来に備えるべきです。

今年の春、Googleの脅威インテリジェンスグループ(GTIG)は、AIによって開発されたと考えられる初のゼロデイ脆弱性を報告しました。これは、広く利用されているPython製オープンソース管理ツール向けの二要素認証バイパスで、既知のサイバー犯罪グループが大規模な悪用キャンペーンに使用しようと計画していたものです。このインシデントは、AIの助けによって脅威が加速し、強化される様子を如実に示しています。

さらに懸念されるのは、特定のタスクを補助するだけでなく、サイバー攻撃そのものを実行するためにエージェント型AIが広く活用されている点です。防御側でもエージェント型のペネトレーションテストツールが急増しており、AWSも今年、自社のツールをリリースしました。これはコモディティ化に向けた一歩と言えます。こうしたツールへの投資は、セキュリティチームが継続的かつ積極的に欠陥を特定していく上で必要不可欠だと私は考えています。なぜなら、同じ能力がすでに実在の標的に向けられているからです。最近の攻撃側の演習において、CodeWallの研究者らはマッキンゼー独自のAIエコシステムに対して自律型エージェントを展開しました。わずか2時間のうちに、このエージェントは保護されていないAPI経由のSQLインジェクション脆弱性を突いて、本番環境に対する読み書き完全権限の取得に成功しました。同コンサルティング会社は迅速にこの欠陥を修正し、データ流出の形跡はなかったと報告していますが、このインシデントはエージェント主導型攻撃の速さを浮き彫りにしています。

脅威アクターは、これと同種の自動化技術をあまり褒められない目的のために応用しています。JADEPUFFERはデータベースに対する小規模なランサムウェア攻撃を自動化しましたが、私たちはより大規模な自動化キャンペーンの出現も目にし始めています。一つは 3か国の政府システムを標的にした攻撃で、実行にClaude Codeを、推論にDeepSeek-v4-proを使用したもの。もう一つは タイ財務省に対してHermes AIエージェントを無人で稼働させた攻撃です。

誤解のないよう申し上げておきますが、AIによって攻撃者が無敵になるわけではありません。しかし、CISOは脆弱性や設定ミスを悪用するまでの時間が圧縮され、場合によってはマイナスにすらなる事態を想定しておくべきです。ビジネスへの影響が最も大きいリスクを先回りして特定し対処することが、2026年にはさらに重要になっていくでしょう。

最も重要なリスクに焦点を絞る

あらゆる問題を解決しようとすると、たいていはどの問題も中途半端にしか解決できません。これはAIについても変わりません。リスク優先型のCISOは、自社のビジネスにとって最も重大なリスクを特定し、それを最優先で対処します。

AIリスクに対処する第一歩は、AIがすでに事業のどこで使われているのか、そしてどこで事業に最も影響を及ぼしやすいのかを把握することです。どのチームがどのツールに依存しているのか、それらのツールがどのデータにアクセスしているのか、そしてどのAIエージェントが自律的な行動を取り得るのかを特定してください。外部から見た視点においても、インターネットに公開されているサービスを把握することが、これまで以上に重要になっています。

その上で、CISOはビジネスリスクを最も低減できる統制策に力を注ぐべきです。社内ツールや顧客向けツールによる行動リスクに備えるには、ロールベースアクセス制御とアイデンティティ管理を優先し、アカウントやエージェントが業務上必要な範囲にしかアクセスできないようにすべきです。機密データは分類し、組織としてAIシステムに何をアクセスさせてよいのか、何をアクセスさせてはいけないのかを明確にする必要があります。ITインフラ、顧客に提供しているソフトウェアやAPI、そしてソフトウェアサプライチェーン上の弱点について、継続的なテストと脆弱性の特定を優先してください。

AIを活用してソフトウェアを開発している組織にとっては、AIによって開発速度が上がる分、自動コードレビューと依存関係管理の重要性が一層増しています。コード生成が高速化するということは、レビュープロセスがそれに合わせて進化しなければ、脆弱性の混入もまた高速化しかねないということです。

最後に、失敗に備えて組織を整えておいてください。机上演習には、AIエージェントが侵害されるシナリオや、主要なツールやモデルが機能停止するシナリオを含めるべきです。こうした演習は、実際のインシデントで試される前に、セキュリティ責任者が運用上のギャップがどこにあるかを把握する助けになります。現場レベルでは、今こそソーシャルエンジニアリングのテストとトレーニングを見直し、それがAIの脅威に即した内容であること、そしてこうしたツールを手にした攻撃者を模倣するのに十分な難易度であることを確認すべき時です。

AIリスクは、私たちがそれについて書く速度よりも速く変化し続けるでしょう。その答えは、あらゆる見出しを追いかけたり、新しい脅威アクターの手口一つひとつに対応策を用意したりすることではありません。むしろ重要なのは、リスクが事業にもたらしかねない被害の大きさに基づいて優先順位をつけ、シミュレーションでそれを検証し、状況の変化に合わせて優先順位を継続的に見直していくという戦略です。それこそが、リスク優先型のCISOとその他を分ける違いなのです。