AIでサイバー攻撃は何が変わったのか｜相次ぐ情報漏えいから考える

2026年9月前後から、国内組織の不正アクセスによる個人情報の漏えいが相次いでいます。「AIが攻撃に使われるようになったからだ」という説明を目にした方も多いはずです。

その説明は、一部は当たっていて、一部は確認されていません。そして確認されていない部分を埋めて読むと、対策の優先順位を間違えます。実際に公表資料を読むと、国内で起きていることは、AIが未知の弱点を発見して突破した、という像とはかなり違います。

この記事では、2026年10月13日に一次情報を確認した範囲で、何が確認されていて何が確認されていないのかを分け、そのうえで何の費用が下がったのかという角度から、自社の前提のどこを見直すべきかを整理します。

30秒で要点

• JPCERT/CCの2026年10月8日の注意喚起は、国内事案についてAIに一度も言及していない。マクニカの分析は「AIが使われたと断定できるログや痕跡は確認されていない」と明記している
• 同分析は、AIによって未知の脆弱性（ゼロデイ）が発見・悪用されている状況は確認されておらず、実際に起きているのはアクセス権・設定・認証の基礎的な不備と既知の脆弱性の広範な探索だとしている
• 一方で、AIが未知の脆弱性を実際に見つけられることは、FirefoxとChromeの事例で別途確認されている。ただし「見つける」と「防御機構のある実環境で侵入する」は別の課題である
• 下がったのは主に調べる費用である。Anthropicは、脆弱性の特定はエクスプロイト作成より一桁安いと述べている（2026年3月時点）
• 防御側がAIで優位に立てる局面は確認されているが、提供元自身がそれを長く続かない「窓」と表現している。差がつくのは、発見ではなく修正を適用し終えるまでの時間である

なぜ「AIのせい」という説明に引き寄せられるのか

原因をAIに求めたくなるのは、理解が足りないからではありません。説明として優れた性質を持っているからです。

第一に、単一の新しい原因は、多数の事案を一度に説明できます。別々の会社で別々のシステムが被害に遭ったとき、「それぞれに固有の不備があった」より「共通の新しい脅威が現れた」のほうが短く語れます。

第二に、新しい脅威という説明は、自社の責任から目を逸らさせます。原因がアクセス権の設定漏れや放置された管理画面なら、話は「なぜそれが残っていたのか」に向かいます。最先端のAIなら「仕方がない」に向かいます。

第三に、観測する側の手がかりが実際に減っています。Anthropicの2026年9月の脅威報告は、脅威情報の調査者にとって手口の高度さは「誰がその活動の背後にいるか」の信頼できる手がかりではなくなったと述べています。

三つ目は確認できる変化です。一つ目と二つ目は、こちら側の都合です。都合のよい説明が、確認された説明として流通していく——これが起きている混乱の構造です。

国内で起きていること——公表資料が書いていること、書いていないこと

まず確認できる事実を押さえます。

JPCERT/CCの注意喚起は2026年10月8日公表（翌9日更新）で、技術的な情報の共有が不足しており把握している情報は限定的かつ断片的であるとしたうえで、すべての事案で同一の攻撃手法が使用されていることを示すものではないと明記しています。

被害に遭っているシステムの性格づけが、この資料でいちばん示唆的な部分です。一般利用者向けのアプリのほか、BI（ビジネスインテリジェンス）ツールや従業員向け管理システムなど、管理・運用側で不特定多数の利用者からのアクセスを想定していないシステムが被害に遭い、内部に保存していた情報が漏えいするケースもあるとしています。

攻撃類型として挙がっているのは、標的ごとに既知の脆弱性の有無をスキャンするもの、API（システム連携の窓口）経由での不正な操作、BIツールのSQLインジェクションの脆弱性（CVE-2026-72898。CVEは公表された脆弱性を識別する番号です）、公開Webサーバーから到達できるサーバーへのWebシェル設置です。1つ目には、脆弱性ではない管理不備の悪用も含まれています。

そしてこの注意喚起には、AIへの言及が一度も出てきません。本文を検索して確認しました。ただしこれは「AIが原因ではないと述べている」ことではなく、言及がないというだけです。

専門機関が明示している、最も重要な記述

マクニカ セキュリティ研究センターの分析（2026年10月7日、瀬治山豊）は、この点に踏み込んでいます。

今回、AIによって……共通ソフトウェアの未知の脆弱性、いわゆるゼロデイ脆弱性が発見され、悪用されているのではないかと懸念される方もいると思いますが、現時点ではそのような状況は確認されていません。実際に起きているのは、アクセス権や設定、認証などのより基礎的な不備や、既知の脆弱性を幅広く探り、悪用する動きです。

ここが、AI時代のサイバー攻撃を語るときにいちばん落ちやすい事実です。同分析はAIが使われたと断定できる痕跡は確認されていないとしたうえで、サイトごとに不備を調べる動きを広範囲に繰り返すのを人間が手作業で行うのは現実的ではないため、AIの活用を否定する方が難しいとも述べています。

もう一つ、見落としやすい留保があります。同分析は海外13カ国・地域で関連事例を確認しており、筆者の調査では日本の被害が目立つものの、日本だけが標的となっているかはわかっていないとしています。

AIが未知の脆弱性を見つけられること自体は、別に確認されている

国内事案とは切り離して、能力の側を見ます。こちらは確認されています。

Mozillaは2026年3月6日、Anthropicとの共同作業の結果として重大度の高い不具合14件を発見し、22件のCVEを発行したと報告しました。Mozillaの技術者が再現可能なテストとともに検証し、Firefox 148の出荷に先立って修正を投入しています。AI側が「見つけた」と主張しただけの成果ではありません。 Googleは2026年7月30日、2026年初頭に構築したエージェント基盤がChromeのコードベースで見つけた不具合の一つが、侵害されたレンダラーにローカルファイルを読ませるサンドボックス脱出であり、13年以上コードベースに残っていたものだったと公表しています。

ただし、ここから国内事案へ線を引かないでください。脆弱性の候補を見つけること、悪用可能だと検証すること、防御機構のある実環境で攻撃を成功させることは別の課題です。

同じ取り組みについてAnthropicが書いている留保が、その違いを示しています。自動で粗いエクスプロイトを作ることに成功した例はあった。しかしそれはごく少数で、現代のブラウザが持つセキュリティ機能の一部——とくにサンドボックス——を意図的に外した試験環境でのみ動作したとしています。同社は、Firefoxの多層防御があればこれらは緩和されていたはずだとも書いています。

ソースコードと試験環境を与えられたAIの成績は、外部から企業を攻撃した場合の成功率として読み替えられません。何を渡し、どこまでを成功とし、どれだけの時間と計算資源を使ったかで、数字の意味は変わります。

変わったのは「調べる費用」——一桁安いという一次情報

では何が変わったのか。工程ごとに見ると、答えははっきりしています。

同じAnthropicの記事に、こう書かれています。脆弱性を特定する費用は、それを悪用するエクスプロイトを作る費用より一桁安い（an order of magnitude cheaper）。そしてモデルは、不具合を悪用することよりも見つけることのほうがずっと得意だとしています。

つまり安くなったのは攻撃全体ではなく、主に「調べる」工程です。この区別が、国内で観測されている動き——標的ごとに不備を広く探る——と符合します。

費用の非対称の中身については、BIS Bulletin No.129（2026年7月、Aldasoro ほか。著者の見解であり、BISや加盟中央銀行の見解を必ずしも反映しないと文書自体が明記しています）が端的に書いています。

防御側はすべてのシステムを継続的に守らなければならないが、攻撃側は使える侵入経路が一つあればよい

その一つを見つけて悪用する費用を下げるツールは、したがって均衡を攻撃側に傾けうる——これが同論考の指摘です。同論考はさらに、サイバー攻撃がAIに向いている理由として、攻撃は開放的な曖昧さを扱う必要がなく、業界フレームワークに体系化された構造的で逐次的なワークフローとして展開し、各段階が機械可読な出力（ログ、エラーメッセージ、コードなど）を生むことを挙げています。

ここから見えるのは、「小さな会社も狙われるようになる」という話ではありません。小規模な組織も以前から一斉探索の対象でした。変わりうるのは、一社ごとの違いを調べる費用です。共通のソフトウェアの弱点なら同じ手法を繰り返せますが、独自の予約機能や会員管理、外部連携は仕組みが異なります。その違いを理解する負担が下がれば、一律の探索に加えて、対象に合わせた調査を多数に実施しやすくなります。

この見方が正しければ、自社の知名度より、外から触れられる機能・扱う情報・権限の設計が効いてきます。「有名ではない」「独自の仕組みだから詳しくは調べられないだろう」という期待は、防御の前提に置きにくくなります。

確かなことと、まだ確かではないこと

ここまでを整理します。

確かなこと：被害が相次いでいること。公表情報が限定的で同一手法とは示されていないこと。国内事案でゼロデイの悪用は確認されておらず、基礎的な不備と既知の脆弱性の探索が起きていること。AIが未知の脆弱性を発見した事例は別に存在すること。脆弱性の特定はエクスプロイト作成より一桁安いこと。いずれも一次情報の記載から直接確認できます。

まだ確かではないこと：国内事案でAIが使われたかどうか。攻撃全体の費用がどれだけ下がったか（数値を示した情報源はありません）。被害件数が今後どう動くか。日本が特に狙われているのかどうか。

この線引きを曖昧にしたまま「AIによる攻撃が急増している」と語れば、公表資料が示す範囲を超えます。逆に、個別事案でAI利用が確定していないことは、構造変化を考えなくてよい理由にもなりません。

防御側が優位な「窓」は、開いたままではない

攻撃側が一方的に有利になる、という結論にも慎重でありたいところです。FirefoxとChromeの事例は、いずれも防御側がAIを使って弱点を見つけた成果でした。

Anthropicは、2026年3月時点のモデル（Claude Opus 4.6）について、脆弱性を悪用することより特定・修正することのほうがはるかに得意であり、これは防御側に優位を与えると書いています。ただし同じ段落にこう続きます。進展の速さを踏まえると、発見能力と悪用能力の差が長く続くとは考えにくい。そして開発者に、この「窓」のあいだに自社ソフトウェアの安全性向上の取り組みを強めるよう促しています。

優位ではなく、期限付きの猶予として提示されているわけです。

研究側の結果も、どちらかが常に勝つとは示していません。2026年10月5日にarXivで公開されたプレプリント（Heldt ほか、arXiv:2610.06584v1）は、5つの非公開ソフトウェア環境で評価し、修正のスコアが攻撃のスコアを上回った環境は2つ、下回った環境は3つだったとしています。採点はLLMの判定ではなく研究者が開発・レビューした決定論的な採点器です。査読は経ておらず、環境も限定的なので、「攻撃側が6割勝つ」といった一般化はできません。

同じ研究に分母付きの数字があります。最初のエクスプロイトを止めた後の防御側テスト区間524のうち92で、別のエクスプロイトが成功した。分母は区間524、分子は92、単位は区間数です。原文は区間が独立ではないと明記しているので「18%の確率で再突破される」とは読めません。読めるのは、最初のテストを通ることが十分条件ではないという一点です。

発見が増えても途中までしか進んでいない、という構造はここに現れます。Anthropicの脆弱性開示ダッシュボード（2026年10月2日時点）は、開示した件数は発見総数の部分集合であり、独立した人間によるトリアージとレビューが処理量の制約になっていると説明しています。この論点自体はOpenAIの10億ドル支援は「見つける力」止まりではない｜脆弱性対応の詰まりどころの見分け方が正面から扱っているので、そちらを起点にしてください。

英国NCSCは2027年までの見通しとして、AI対応の脅威に追いつけるシステムと、より脆弱なまま取り残される大きな割合のシステムとのあいだにデジタル・デバイドがほぼ確実に生じるとしています。「ほぼ確実に（almost certainly）」はNCSCの確度用語なので、弱めずに受け取るべき表現です。

判断軸：守る対象を減らし、直し終えるまでの時間を測る

ここまでを、限られた予算と人員でどう使うかに落とします。高度な防御AIを自社で開発する、という話にはなりません。

1. 守る対象をむやみに増やさない。 Five Eyes 5カ国機関の2026年6月22日の共同声明が第一に挙げる行動は攻撃面の削減で、不要なアクセスと外部接続を制限し、そもそも公開が必要かを問い直すことだとしています
2. 公開されている管理機能を止める。 JPCERT/CCの対策欄は、業務上必要のないサービスや機能（管理機能など）がインターネットに公開されている場合の公開停止を挙げています。被害の性格に直接対応します
3. 権限と保持期間を削る。 同じ対策欄は、APIトークンへの最小権限付与と有効期限の設定、不要または漏えいが疑われるトークンの速やかな無効化、保存期間を過ぎたデータの扱いを挙げています
4. 直し終えるまでの時間を測る。 共同声明の第二の行動はパッチ適用の加速です。測るなら、分子は「修正を本番に適用し終えるまでの日数」、分母は対象となった脆弱性の件数、単位は日／件。技術的な確認が数時間に縮んでも、承認や調整で何日も止まれば全体は速くなりません
5. AIを買うより、対応が完了する経路を確かめる。 異常の通知を誰が受け取り、誰が調べ、誰が停止や修正を決めるのか。委託する場合も、対応範囲・記録へのアクセス・連絡経路を選定の判断材料にします

マクニカの分析も結論で、多くの攻撃は検知や防御が困難な極めて高度な手法ではなく、AIを悪用した攻撃でも比較的基礎的な問題や管理不備を高速・広範囲に探される点が懸念である点は変わっていないとして、基礎的な対策の徹底を挙げています。やることのリストは、思ったほど変わっていません。変わったのは、それを終えるまでに許される時間です。

自分でも試せる、最小の検証

15分で、自社の前提がどれだけ古いかを測れます。

1. 外部から到達できるURLとサブドメインを一覧にする（分かる範囲でよい）
2. そのうち、不特定多数の利用者からのアクセスを想定していないものに印を付ける。管理画面、社内向けダッシュボード、BIツール、検証用に立てたまま残っているもの
3. 印が付いた数を数える。これが、国内事案で実際に被害に遭っている類型の件数です
4. いちばん古い1つを選び、「これを公開停止するには誰の承認が必要か」を書き出す
5. 書き出せなかったら、技術の問題ではなく手続きの問題がボトルネックです

3で数えた件数がゼロなら、この記事の優先順位は自社には当てはまりません。1つでもあれば、最先端のAIを検討する前にやることがあるという結論になります。

判断の土台として押さえておくこと

• 「言及がない」を「否定された」と読み替えない。原因究明と能力評価は別の作業である
• 対策の優先順位は、ゼロデイへの備えではなく、アクセス権・設定・認証の棚卸しに置く
• 工程を分けて考える。発見が安くなったことは、実環境での侵入が安くなったことを意味しない
• 自社の知名度ではなく、外から触れられる機能・扱う情報・権限の設計で考える
• 速さを測る対象は発見ではなく、直し終えるまでの時間である

「以前は大きな問題が起きなかった」という経験を、今後も同じ条件の安心として扱ってよいのか。調べる手間が変わり、対応に使える時間が変わったのなら、過去に合理的だった予算や点検の頻度にも見直す余地があります。自社のどの前提が古くなったのかを洗い出すところから整理したい場合は、状況を言語化するところから始めることができます。

状況を整理する（15分）

より深く学ぶ

• OpenAIの10億ドル支援は「見つける力」止まりではない｜脆弱性対応の詰まりどころの見分け方：発見能力と修正能力の差という論点の正本
• AIの能力向上と「信頼していいか」は、なぜ別問題なのか：能力の数値と導入判断を切り分ける考え方

参考資料・引用元

• JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」JPCERT-AT-2026-0030（2026-10-08公開、2026-10-09更新）. https://www.jpcert.or.jp/at/2026/at260030.html （2026年10月13日確認）
• マクニカ セキュリティ研究センター「相次ぐWEBシステムからの情報漏洩事案について」瀬治山豊（2026年10月7日）. https://security.macnica.co.jp/blog/2026/10/web-incidents2026.html （2026年10月13日確認）
• Five Eyes cyber security agencies, "The AI shift in cyber risk: why leaders must act now"（22 June 2026）. https://www.ncsc.gov.uk/sites/default/files/2026-06/Five-Eyes-cyber-security-agencies-statement-ai-shift.pdf （2026年10月13日確認）
• Brian Grinstead & Christian Holler, "Hardening Firefox with Anthropic's Red Team" (Mozilla, March 6, 2026). https://blog.mozilla.org/en/firefox/hardening-firefox-anthropic-red-team/ （2026年10月13日確認）
• Anthropic, "Partnering with Mozilla to improve Firefox's security"（2026年3月6日）. https://www.anthropic.com/news/mozilla-firefox-security （2026年10月13日確認）
• Google, "Stronger with every update: How we're making Chrome and the web safer in the AI Era"（datePublished 2026-07-30）. https://blog.google/security/chrome-stronger-with-every-update/ （2026年10月13日確認）
• Anthropic, "Detecting and countering misuse of AI: September 2026"（事例研究であり利用実態の統計ではない）. https://www.anthropic.com/threat-intelligence-report-september-2026 （2026年10月13日確認）
• Iñaki Aldasoro, Raphael Auer, Jon Frost and Fernando Pérez-Cruz, "A Mythos moment? Frontier AI and cyber risk", BIS Bulletin No.129（2026年7月）. 著者の見解であり、BISや加盟中央銀行の見解を必ずしも反映しない. https://www.bis.org/publications/bulletin-129-mythos-moment-frontier-ai-and-cyber-risk.pdf （2026年10月13日確認）
• Tobias Heldt, Matt Turk, Christoph Landolt and Mario Fritz, "Does AI Help Cyber Attackers or Defenders? Evidence from Nonpublic Vulnerabilities and Subsequent Attacks", arXiv:2610.06584v1（2026-10-05、プレプリント）. https://arxiv.org/abs/2610.06584 （2026年10月13日確認）
• NCSC, "Impact of AI on cyber threat from now to 2027". https://www.ncsc.gov.uk/report/impact-ai-cyber-threat-now-2027 （2026年10月13日確認）
• Anthropic, "Coordinated vulnerability disclosure dashboard"（Last updated 2026-10-02 19:47 UTC）. https://red.anthropic.com/2026/cvd/ （2026年10月13日確認）
• Anthropic, "Expanding the Cyber Verification Program"（Oct 6, 2026）. https://www.anthropic.com/news/cyber-verification-program （2026年10月13日確認）