AIはサイバー攻撃の性質をどう変えているのか

AIはサイバー攻撃者が作戦の速度と規模を拡大する助けになっているかもしれませんが、攻撃の中核的な目的や、攻撃チェーンで用いる手法まで変えているわけではありません。

セキュリティ専門家によると、AIツールの悪用によって、比較的スキルの低い攻撃者でも攻撃を仕掛けやすく、低コストで実行できるようになりました。それでも、フィッシング、マルウェア、脆弱性の悪用が主な手法である点は変わりません。

「攻撃者は今も、標的の特定、偵察、足がかりの確保、横展開、目的の達成、痕跡の隠蔽を経て、次の標的へ移っています」。こう語るのは、アプリケーションセキュリティ企業Black Duckのサイバーセキュリティガバナンス担当ディレクター、Ronald Lewis氏です。「変わったのは、AIによってこのプロセスが回る量と速度です」

これまでで最も注目を集めたAI攻撃の事例は、2025年9月に中国の国家支援型攻撃者がClaude Codeを悪用し、AIが主導するサイバースパイ活動を実行したケースです。この事例でも、土台にあったのは従来型の攻撃手法と手順でした。GTG-1002キャンペーンでは、AIは偵察、脆弱性の発見、悪用、横展開、認証情報の収集、データ分析、持ち出しを支援する手段として悪用されました。

2026年7月に明らかになったランサムウェアキャンペーン「JadePuffer」では、LLM駆動のエージェントが侵入チェーンの大半を自動化していました。最初の侵入に使われたのは、CVE-2025-3248です。これは、LLMアプリケーションやエージェントワークフローを構築するための人気オープンソースフレームワークLangflowに存在する、1年前の認証欠如の脆弱性です。

攻撃者は、インターネットに公開された脆弱なLangflowインスタンスからクラウド認証情報、APIキー、その他の機密情報を盗み出しました。その後、横展開と権限昇格を経て、最終的にはデータベースを暗号化して破壊しました。

JadePuffer は、従来の攻撃手法をAIで自動化できる可能性を示しています。同時に、AIがこれまで攻撃者に最も大きな優位をもたらしてきた領域が、脆弱なソフトウェアであることも浮き彫りにしました。AIツールは、オープンソースコードに潜む悪用可能な欠陥を、防御側がパッチを当てるより速く見つけられます。長年の技術的負債を抱える多くの企業にとって、これは深刻な問題です。セキュリティ専門家は、その結果として、侵害の根本原因としてソフトウェアの欠陥が増えていると見ています。

AIが可能にすること

AIは、攻撃者の脆弱性発見能力を高めるだけではありません。失敗するにせよ成功するにせよ、そのサイクルを速めてもいます。防御側は、攻撃者の速度、規模、運用能力が向上していると実感しています。この向上は、AIツールの能力向上と強く連動しています。

「攻撃者も、他のあらゆる組織がAI導入で得ている開発速度や運用面の向上を、同じように手にしています」。こう指摘するのは、アプリケーションセキュリティツールを手がけるCheckmarxのセキュリティリサーチ担当アドボケート、Darren Meyer氏です。

Black DuckのLewis氏は、これが攻撃者の到達範囲を広げ、攻撃の試行錯誤を後押ししていると見ています。

「攻撃者は、より多くの機会を調べ、より多くの手法を試し、人間のチームでは追いつきにくいペースで次の標的へ移れる可能性があります」と同氏は話します。

クラウドセキュリティ企業Sysdigのシニアサイバーセキュリティストラテジスト、Crystal Morin氏は、そうなると従来の攻撃パターンで防御側に有利に働いてきた重要な局面が、次第に変わっていくと指摘します。「数週間から数カ月に及ぶことも多かった滞留期間こそ、検知が行われる場面でした」と同氏は語ります。

従来の攻撃者は、侵入後にしばらく潜伏し、内部を探っていました。これに対し、AIを活用する攻撃者は、検知までの猶予を縮める兆候を見せています。しかも、AIエージェントは待ってくれません。

「エージェント型APT」とAIによる攻撃フェーズの専門化

ハッカーはエージェント型AIを作戦に取り入れることで、データベース管理やCI/CDパイプラインなど、より幅広い分野の専門知識を活用できます。人間の攻撃チームでは、Webアプリのセキュリティやマルウェア開発など、メンバーごとに得意分野が分かれる傾向があります。

「データベース管理者、開発者、ITエンジニア、DevOpsスペシャリスト、クラウドアーキテクト、ハッカーが、1つの役割に統合されたようなものだと考えてください」。こう語るのは、エージェント型AIセキュリティ企業UnderDefenseのCEO兼創業者、Nazar Tymoshyk氏です。「私たちはこれを『エージェント型APT』と呼んでいます。重要な変化は、これがもはや国家レベルの攻撃者だけのものではなくなった点です」

Tymoshyk氏は次のように付け加えます。「以前は専門家による連携チームが必要だった脅威を、適切なプロンプトと適切なモデルさえあれば、1人で展開できます」

UnderDefenseを含むセキュリティ研究者は、攻撃者が中国製モデルを好んで使っていると報告しています。具体的にはGLMとKimi 3です。これらはコンテンツ制限が大幅に少なく、制限の厳しい欧米のモデルではなく、こちらを攻撃の基盤として選んでいます。

「攻撃者は、作業内容に応じてモデルを使い分けます。偵察用、コード生成用、ソーシャルエンジニアリング用コンテンツの作成用といった具合です」とTymoshyk氏は語ります。「このモジュール性は、攻撃設計の一部です」

攻撃者がローカルモデルを好んで使うことも少なくありません。運用上のセキュリティ面で利点があるほか、悪用に対する安全対策が弱いモデルもあるためです。

ほかの専門家からは、特定のモデルが悪用されているかどうかを判断するのは難しいとの指摘も出ています。そもそも、攻撃への防御という本題から見れば、それは副次的な問題だといいます。

「特定の攻撃を特定のモデルに結びつける話は、現場のごくわずかな証拠に基づく憶測にすぎないのが普通です」と、CheckmarxのMeyer氏は話します。「本当の意味での攻撃元の特定は、脅威グループへの潜入や、その基盤の侵害からしか得られません。どちらも、一般の研究者がめったに利用できる手段ではありません」

現在の攻撃の基準は、AIが主導する作戦になっています。モデルが攻撃経路を洗い出し、検証し、実行します。セキュリティ研究者は、AIが支援する攻撃やAIが加速させる攻撃から、人間の関与を最小限にとどめた完全自律型の攻撃へと、全般的に移行しつつあると報告しています。

AI攻撃の経済学

攻撃を仕掛ける際の経済性も変わりつつあります。攻撃者によるAI利用の拡大を理解するうえで、これは重要な要素です。

「人間の攻撃者はキャンペーンごとにプレイブックを作成し、それを使い回します。そのため、新しい標的ごとに調整のためのエンジニアリング工数がかかります」と、SysdigのMorin氏は語ります。「エージェント型の攻撃者は、アプリケーションの種類全般に関するコンテキストを持っています。そして、見つけた対象に合わせて、その場で計画を組み立てます。かかるコストは推論の予算だけです。複雑な攻撃を実行するコストが下がれば、試行回数は増えるでしょう」

とはいえ、エージェント型の攻撃には今も欠点があります。幅広い専門知識は、深い知識の代わりにはなりません。

「エージェントは幻覚を起こし、ノイズも多く出します。だからこそ、捕捉しやすいことが多いのです」と、SysdigのMorin氏は指摘します。「JadePuffer には、身代金要求メモ、暗号化、ウォレット、データ持ち出しのいずれにも不備がありました。人間の分析力やスキルがエージェントの記憶を今も上回る領域は、まだ数多くあります」

対策

「脅威アクターの中核的な目的は実際にはほとんど変わっていません。ただ、攻撃を成功させるまでの時間は劇的に圧縮されました」と語るのは、脆弱性管理・コンプライアンス企業QualysのCISO、Nathan Smolenski氏です。「最先端のAIツールは、脆弱性の発見と武器化を加速させます。その結果、公開から悪用までの猶予はほぼゼロにまで縮まっています」

Smolenski氏は続けます。「防御側はもはや、人間の速度を前提とした30日ごとのパッチ適用サイクルや、月次の静的なスプレッドシートには頼れません」

AIは、特にエンドユーザーのデバイス、API呼び出し、統制の効かないAIエージェントを通じて攻撃対象領域を広げ、侵入の力学を大きく変えます。

これに対し、防御側の組織は、人間中心のゲートキーピングから自動化された防御へと軸足を移す必要があります。同時に、パッチ適用や認証制御といった基盤的なセキュリティ対策も、引き続き徹底しなければなりません。

「人間が介在するガードレールを備えたエージェント型ワークフローを導入すれば、セキュリティチームは低レベルのトリアージ作業を自動化できます。そして、人間の専門知識をエージェントの統制、出力の検証、より重大なリスク判断に集中させられます」と、Smolenski氏は締めくくっています。