これまでのところ、エージェント型AIはサイバー防御よりもサイバー攻撃において効果を発揮してきましたが、その状況が変わりつつあるかもしれません。
Omdiaの主席アナリストであるTheresa Lanowitz氏が、Dark ReadingのシニアニュースディレクターであるRob Wright氏と、Black Hat USA 2026のNews Deskで対談しました。テーマは、AIが引き起こす脅威への懸念が高まる中、ペネトレーションテストや脆弱性評価、レッドチーム演習といった攻撃的サイバーセキュリティ手法に対する企業投資の変化に関する最新の調査結果についてです。
Lanowitz氏は、脅威アクターが新たな脆弱性を武器化し攻撃を仕掛ける速度が増す中、企業がそのスピードに追いつくために攻撃的サイバーセキュリティへの支出を増やそうとしている状況を説明しました。攻撃者側のAIによる高速化に対抗する一つの方法は、防御側でもAIを活用することですが、同氏は組織にとってのリスクについても指摘しました。
「そのエージェントが実際にできることの被害範囲を制限したいはずです」とLanowitz氏は語り、暴走したAIモデルによる最近の攻撃事例の一部に言及しました。
Dark ReadingのNews Desk動画は、すべてYouTubeチャンネル、および厳選された動画記事でご覧いただけます。
Dark Reading News Desk：Theresa Lanowitz氏インタビュー全文
Dark Reading、Rob Wright： こんにちは。ラスベガスで開催中のBlack Hat USA 2026、Dark Reading News Deskへようこそ。Dark ReadingのRob Wrightです。本日はOmdiaのTheresa Lanowitz氏にお越しいただいています。Theresa、ご参加ありがとうございます。
Theresa Lanowitz：ありがとうございます、Rob。ご一緒できてとても嬉しいです。
DR、Rob Wright： 早速この調査について伺いたいと思います。攻撃的サイバーセキュリティについて調査を行われたそうですね。
Theresa Lanowitz：はい、正式なタイトルは「攻撃的セキュリティ戦略：防御側にもAIの優位性を与える」です。
DR、Rob Wright： いいですね。というのも、そこには一種の不均衡がありますよね。
Theresa Lanowitz：その通りです。
DR、Rob Wright： では、攻撃的サイバーセキュリティにおいてAIを安全かつ責任ある形で活用するには、どうすればよいのでしょうか。それは可能なのでしょうか。
Theresa Lanowitz： それがまさに問われている点ですよね。安全で責任ある方法、そして信頼の構築。まさに今、私たちはその段階にあると思います。転換点に立っているのです。今回実施した調査から、大きく3つの重要な領域が見えてきました。第一に、AIは確実に攻撃的セキュリティ戦略の必要性を後押ししています。ただし、そこにはいくつかの懸念があり、それはまさに今おっしゃった信頼と責任の問題につながります。
第二に、これまで攻撃的セキュリティで使われてきた従来型の手法が、もはや機能しなくなっているという点です。従来型のペネトレーションテスト、従来型のレッドチーム演習、脆弱性評価、ソーシャルエンジニアリングテストを考えてみてください。これらはもはや通用しません。
そして第三に、攻撃的セキュリティへの支出が増加しているという点です。企業は、AIによってあらゆる物事が加速している以上、攻撃的セキュリティに必要性を感じ、より多くの支出をするつもりだと答えています。攻撃のスピードは増しており、攻撃者の動きも速くなっています。脆弱性が悪用されるまでの時間も短縮されています。今やスピードこそが最大の懸念事項であり、それに伴って継続的な可視性という考え方が重要になってきます。
ただ、最初にご質問いただいた、エージェントを責任を持って活用する、攻撃的セキュリティの中でAIを責任を持って使うという点についてですが、調査対象者は「エージェント型AIを使いたいが、そのエージェントについていくつか懸念がある」と回答しています。これは非常に正当な懸念です。「エージェントに何らかのプロンプトインジェクションが起きるのではないか」「何らかの敵対的入力があるのではないか」と、多くの人が懸念を示していました。これらのエージェントは自律的である以上、必ずしも決定論的ではなく、私たちの望む通りに動くとは限らないからです。
DR、Rob Wright： 多少暴走する可能性もあるということですね。
Theresa Lanowitz： ええ、意図しない挙動、つまり暴走の可能性もあります。そして、攻撃的セキュリティにエージェントを使うことへの懸念として、3つ目に挙げられたのが「リソース消費や利用量、そして高コストになる可能性がある」という点です。業界としての視点で見れば、まさにここでベンダー側が力を発揮し、革新を起こせる領域だと言えます。実際、特にこの3か月間で多くのイノベーションが生まれてきました。
DR、Rob Wright： 素晴らしいですね。
Theresa Lanowitz： ええ。「エージェントを活用したい」という声があり、実際にどう使いたいかというと、「あらゆるベクトルにわたって攻撃対象領域を継続的に監視したい」という要望があります。
考えてみると、ここでも先ほどの責任という問題が再び関わってきます。というのも、AIは今やあらゆるものに組み込まれているからです。人事システム、会計システム、財務システムにも組み込まれています。攻撃対象領域を拡大させる要因は一箇所にとどまらないのです。また、組織はエージェントを使って資産を継続的に発見したいと考えていますし、ビジネスリスクに基づいて修復の優先順位をつけるためにエージェントを活用したいとも考えています。というのも、サイバーセキュリティチームが本来責任を負うべきものは何かと考えると、それは「成果」だからです。セキュリティの世界にいる私たちは、成果を出すためのビジネスに携わっているのです。
DR、Rob Wright： それはAIにとってかなり高いハードルですね。コストはどう管理するのでしょうか。トークン使用料の数字を見て経営陣が悲鳴を上げる、というような事態をどう防げばいいのでしょう。コストを低く抑える方法はあるのでしょうか。AIが進化するにつれて、使用量自体を減らせるようになるのでしょうか。
Theresa Lanowitz： 現時点でコストに関する明確な答えを持っている人はいないと思います。ただ、私たちが発表した調査から分かっているのは、88%の組織が攻撃的セキュリティ戦略への支出を増やす意向を示しているものの、同時にそれによってリスクをきちんと低減できることを確認したいと考えている、ということです。支出を増やす一方で、エージェントに関してはコストの問題も絡んできます。組織はそれらのエージェントを確実に制御下に置きたいと考えているのです。
DR、Rob Wright： 成果を見たいということですね。
Theresa Lanowitz： その通りです、成果を見たいのです。そして、支出を増やす以上、IT環境全体を可視化できることを求めています。
DR、Rob Wright： なるほど。
Theresa Lanowitz： また、導入するものが既存のツール群と確実に統合できることも求めています。総入れ替えのような手間はかけたくないのです。そして、その過程で確実にリスクを低減していきたいとも考えています。これは今や取締役会レベルの課題であり、経営幹部レベルの課題でもあります。
DR、Rob Wright： まったくその通りですね。最近の状況を見れば、そうならないわけがありません。相当なプレッシャーがかかっていますから。ただ、エンドユーザー企業からすると、投資すること自体への懸念だけでなく、実際に導入することへの懸念もあるはずです。というのも、最近では自分たちがAPT28にハッキングされるのか、GPT 5.4のようなものにハッキングされるのか分からないような状況ですから。学習中のモデルや誰かのエージェントが、勝手に外に出て独自の動きをする、といったこともあり得ます。そうした事態が自社に起きること、あるいは自社から発生することへの懸念は、エンドユーザー企業側にあると思いますか。
Theresa Lanowitz： ええ、間違いなくあります。おっしゃる通り、暴走する可能性もありますし、多少の「実験的行動」をとる可能性もあります。だからこそ、エンジニアリングの観点からは、確実にサンドボックスを構築することが重要になります。そのエージェントが実際にできることの被害範囲を制限する必要があります。また、ソフトウェアサプライチェーンに関する新しい調査結果も出しています。
DR、Rob Wright： それは大変ですね。
Theresa Lanowitz：ソフトウェアサプライチェーンは、ビジネス上の課題であり、経営幹部レベルの課題であると同時に、サイバーセキュリティ上の課題でもあります。そして、その調査で見つかった驚くべき統計データがあります。
DR、Rob Wright： よし、準備できています。
Theresa Lanowitz： 組織の99%が、ソフトウェアサプライチェーンへの投資を行っていると回答しています。
DR、Rob Wright： 本当ですか。
Theresa Lanowitz： 99%です。私にとっては驚くべき数字です。
DR、Rob Wright： 中には誇張して答えている人もいるかもしれませんが、それでも良い数字ですね。そこまで投資を行っているというのは。
Theresa Lanowitz： その通りです。少し掘り下げて考えると、「99%がサプライチェーンセキュリティに投資している」という数字から読み取れるのは、経営陣が「これは重要な課題だ」と認識しており、実務担当者も同様に「これは重要な課題だ」と認識している、ということです。
DR、Rob Wright： 両者の認識が一致しているわけですね。
Theresa Lanowitz： ええ、認識が一致しています。事業部門がテクノロジーに関与するようになると、必ずこうした認識の一致が見られ、結果としてより良い成果につながっていきます。これは非常に有望な領域です。というのも、私たちは実にさまざまな場所から大量のソフトウェアを得ているからです。オープンソースソフトウェア、サードパーティ製ソフトウェア、そして今やAI生成のソフトウェアです。そのAI生成ソフトウェアが、より多くの脆弱性をもたらしているのかどうか。それはまだ分かっていません。
DR、Rob Wright：ええ、ええ。実際、最近私の受信箱に届く売り込みメールを見ていると、AIかサプライチェーンのどちらかのテーマばかりです。
Theresa Lanowitz： サードパーティ製、オープンソース、そしてAI生成コードの流入が急増している今、サプライチェーンの問題は本当に重要な課題になっています。
DR、Rob Wright：そうですね。今年は不正なコードが混入する攻撃が数多く発生しました。その一部の攻撃では、被害範囲も本当に深刻なものでした。
Theresa Lanowitz： ソフトウェアサプライチェーンが何らかの形で汚染されたり、今おっしゃったように侵入されたりすれば、それはビジネスに深刻な影響を及ぼします。これは一つの脅威です。何らかの攻撃者による意図的な脅威かもしれませんし、あるいは少し暴走したエージェントによるものかもしれません。いずれにせよ、それはビジネスを機能停止に追い込みかねないのです。
今回のソフトウェアサプライチェーン調査で判明したもう一つの点として、SBOM（ソフトウェア部品表）が非常に重要であることは分かっているものの、ビルド時にSBOMを作成しているのはわずか44%の組織にとどまっている、ということが挙げられます。
DR、Rob Wright： ビルド時に、ですか。
Theresa Lanowitz： ビルド時にです。そして、それが本来あるべき方法です。
DR、Rob Wright： つまり、後から遡って対応するのではなく……最近ビルドしたものにSBOMがないといった状態を防ぐという意味で、ビルド時に、ということですね。
Theresa Lanowitz： ビルド時にです。
DR、Rob Wright： また気が滅入ってきました。
Theresa Lanowitz： 気が滅入ってしまいましたね。せっかく99%がソフトウェアサプライチェーンに投資しているという明るい話でわくわくしていただいたのに、ビルド時にSBOMを作成しているのはわずか44%にとどまっているという結果です。
DR、Rob Wright： 楽観的な気持ちでこの場を後にしたかったのですが……。なぜそうなってしまうのでしょうか。難しいからでしょうか。単純にハードルが高すぎるのでしょうか。皆、やるべきことをやりたがらないのでしょうか。
Theresa Lanowitz： 調査対象者からよく聞かれたのは、「さまざまなツールからSBOMを作成しなければならない」「一度作成した後の管理が難しい」「単純に大変すぎる」といった声です。まさにおっしゃる通りです。ですから、これはベンダー側への革新の呼びかけでもあります。ソフトウェアサプライチェーンとSBOM構築の分野で、もっと改善していく必要があります。
DR、Rob Wright： 大変なのは理解しています。歯医者に行くのも面倒ですが、行かなければ歯を失ってしまいますからね。
Theresa Lanowitz： まさに可視性という考え方そのものですね。
DR、Rob Wright： その数字の低さに驚くべきではないのかもしれませんが、それでも改善すべき点であることに変わりはありませんね。
Theresa Lanowitz： ええ、間違いなく改善が必要です。最後に良い数字もお伝えしますね。
DR、Rob Wright： よかった。前向きな話で締めくくりましょう。
Theresa Lanowitz： はい。Omdiaでは新しい調査結果を発表しました。これは毎年実施している意思決定に関する調査です。この意思決定者調査では、経営幹部にインタビューを行い、彼らがどこに予算を投じているのかを調べました。
これは非常に興味深い結果です。彼らが最も予算を投じたいと考えている領域は、サイバーレジリエンスでした。組織全体として、サイバー攻撃であれ、人為的なインシデントであれ、何らかの自然発生的な攻撃であれ、予期せぬ事態が起きた際に迅速に結集できる体制を確実に整えなければならない、という考え方です。サイバーレジリエンスは、まさに経営幹部の課題リストに上がっているのです。これは今後、実務担当者レベルの課題としても浸透していくでしょう。
DR、Rob Wright：それを聞いて少し安心しました。
Theresa Lanowitz： ええ、これは前向きな話です。
DR、Rob Wright：Theresa、News Deskにお越しいただき、本当にありがとうございました。大変貴重なお話でした。
Theresa Lanowitz：こちらこそ、ありがとうございました、Rob。
