2026年10月、同じ発行元が10日足らずのあいだに、見出しだけ読むと逆向きに見える2本を公開しました。一方は、AIのサイバー能力が着実に上がっていることを示す指標の更新。もう一方は、米国成人が報告するサイバー被害の割合に検出できる変化が無かったという調査です。
どちらかが間違っている、という話ではありません。2つは別の窓から別のものを測っています。そして窓の違いを踏まえずに並べると、「能力が上がっても実害は出ない」という安心にも、「指標は現実を捉えていない」という不信にも転がります。どちらも、資料が支えていない結論です。
この記事では、2026年10月24日に一次情報を確認した範囲で、2つの指標がそれぞれ何を分母に何を数えているのかを分け、自社の判断に持ち込める範囲がどこまでなのかを整理します。
30秒で要点
- 被害側の調査（Epoch AI、2026年10月7日公開）は、過去12か月に1件以上のサイバー被害を報告した米国成人の割合が、2026年6月の46%（90%信頼区間 44-49%）から9月の45%（42-47%）へ動いたと報告している。著者の表現は「検出できる変化はない」である
- 著者は限界として、分析はAIが原因となった被害を特定しておらず、特定のモデルリリースの反事実的な効果も推定できないと明記している。因果の話として読めない
- 能力側の指標（同発行元、2026年10月16日公開）は、2026年10月8日時点のデータで、オープンウェイト最高得点と、その点数を挟むクローズドモデルの公開日との差を6-7か月と推定している。これはデータ締切からの逆算である
- その能力指標は、モデルあたりの結果が少ない。首位の2モデルは共通のベンチマークを1つも持たず、信頼区間はほぼ完全に重なっている。著者は中央推定値で比較していると明記している
- 同じ調査は、他の指標では上昇を記録しているとも書いている。被害調査が見ている帰結と、脆弱性開示が見ている帰結は別である
なぜ「逆向きの見出し」が並ぶと判断が止まるのか
見出しが割れたとき、多くの人は「どちらが正しいか」を決めようとします。それが自然な反応であることには理由があります。
第一に、どちらの見出しも、1文で完結した主張の形をしています。「能力は上がっている」と「被害は増えていない」は、どちらも主語と述語が揃っていて、追加の条件を必要としないように見えます。実際にはどちらにも「何を分母に、どの期間で、何を数えたか」という条件が付いているのですが、見出しはそれを運びません。
第二に、片方を採ると、もう片方を考えなくてよくなります。「被害は増えていない」を採れば能力の話を保留でき、「能力は上がっている」を採れば調査の限界を読む必要がなくなります。どちらも、作業量が減る方向に働きます。
第三に、2つの指標は因果の経路でつながっていると直感されます。能力が上がれば攻撃が増え、攻撃が増えれば被害が増える——この経路は筋が通って見えます。しかし経路が長いほど、途中にある別の要因（防御側の変化、攻撃者の選択、被害の認知のしかた）が結果を左右します。片方が動いたときに、もう片方が同じ向きに同じ大きさで動くとは限りません。
ここで起きている混乱は、知識の不足ではなく、2つの測定が別の窓を持っていることが見出しから落ちていることに由来します。
被害側の指標は、何を分母に何を数えているのか
まず、数えている対象を確定させます。これを飛ばすと、残りの議論が全部ずれます。
調査は、Ipsos の KnowledgePanel Omnibus（住所をもとに対象者を抽出する確率ベースのオンラインパネル）で、同一の質問を2回実施したものです。1回目は2026年6月12-14日に1,021人、2回目は2026年9月18-20日に1,024人。
質問は「過去12か月に次のいずれかが起きましたか。当てはまるものすべてを選んでください」という複数選択で、選択肢は6種類です。アカウントへの不正侵入、企業・アプリ・サイトのハッキングによる個人情報の流出や窃取、ウイルスやマルウェアなどの感染、ファイルや端末のロックと支払いの要求、依存しているサービスが攻撃で停止、異常に巧妙または個人を狙ったと思われるスパムメッセージ・電話・動画。
分母は米国18歳以上の成人（推定値は米国成人を代表するよう重み付け）、分子は「6種のいずれかを1つ以上選んだ人」、単位は%です。重要なのは、いずれかの集計では1人を1回しか数えないという点です。したがって個別の被害種別の割合を足すと、「いずれか」の割合を上回ります。信頼区間は、不均等な重みを考慮した有効標本サイズに基づく90%のWilson信頼区間です。
この分母で見た結果が、6月46.2%（43.6-48.8）、9月44.6%（42.0-47.2）。概数では46%（44-49）から45%（42-47）です。
AIを頻繁に使うと答えた層（パネルのプロフィール質問で「毎日」または「毎週」と回答）だけを取り出しても、同じでした。53%（48-59%、n=233）から51%（45-57%、n=215）。ただし部分集団なので標本はさらに小さく、信頼区間は6ポイント前後の幅を持ちます。
「検出できない」と「ない」は、同じことではない
ここが、この題材でいちばん落ちやすい箇所です。
著者の表現は「検出できる変化はない（no detectable change）」であり、「変化が無かったことが分かった」ではありません。信頼区間が±2〜3ポイントある測定で、1.6ポイントの差は区間の中に収まります。区間の中に収まる動きは、あったとしても見えません。
著者自身が挙げている限界を、そのまま並べます。
- 各回は同一の個人を追跡しておらず、別々の無作為標本である。したがって結果は集団レベルの変化を示し、同じ人の中での変化ではない（偶然2回に参加したのは40人）
- 分析は合計の変化に焦点を当てており、個別の被害種別については検出力が足りず、小さな変化が見逃される可能性がある
- 分析はAIが原因となった被害を特定しておらず、特定のモデルリリースの反事実的な効果を推定することもできない
- 両回とも「直近12か月」を尋ねるため、回答の対象期間が重なる
- 無回答者が回答者と異なる可能性は、重み付けでは補正できない
- 被害は自己申告であり、記憶違いや誤分類の影響を受ける
3つ目を読めば、この調査を「AIのせいで被害が増えた」の反証として使えないことも、「AIは被害を増やしていない」の根拠として使えないことも、同時に分かります。この調査は因果を見ていません。見ているのは、ある分母における自己申告の割合が、2つの時点でどう違ったかだけです。
そして4つ目は、見落としやすいうえに効きます。6月の回答は2025年6月以降の12か月を、9月の回答は2025年9月以降の12か月を指します。重なっている9か月分は、両方の数字に入っています。短期の変化を見る設計にはなっていません。
能力側の指標は、何を固定して何を推定しているのか
もう一方の窓を見ます。
使われている指標は Cyber ECI で、Epoch Capabilities Index（ECI）のサイバーセキュリティ特化版です。一般的なベンチマークとサイバー分野のベンチマークを同時に当てはめてベンチマーク側のパラメータを固定し、各モデルのサイバー分野の結果のみからそのモデルの Cyber ECI を推定します。スコアの尺度は一般の ECI と同じです。
2026年10月8日時点のデータでは、10月の更新により対象が56モデルから76モデルへ、サイバー分野のベンチマークが20から35へ拡大し、モデル×ベンチマークの結果は計324件になっています。結果の出どころは、英国 AI Security Institute、米国の Center for AI Standards and Innovation（CAISI）、AIのサイバー評価を手がける Irregular、モデル開発元の報告、その他の公開情報です。
ここに掲載の条件があります。表に載るのは、サイバー分野のベンチマーク結果が2件以上あるモデル57件だけです。結果が2件未満のモデルは除外されます。したがって、この表の中での順位は「評価結果が2件以上集まったモデルの中での順位」であり、同時点で存在するモデル全体の順位ではありません。
数字を見ます。オープンウェイトの最高得点は Z.ai の GLM-5.3 で 160.10（90%区間 155.83-166.97）。クローズド側で上位に並ぶのは、2026年10月8日時点の Cyber ECI に掲載されたモデルのうち Claude Opus 5.5 の 171.14（166.66-177.32）と GPT-6 Astra の 171.03（166.93-177.96）です。
「6-7か月」は、どう数えた数字なのか
著者の数え方は明示されています。GLM-5.3 の点数を最も近く挟む2つのクローズドモデルを特定し、その公開日からデータ締切までを数えるという方法です。
下側に来るのが GPT-5.4（表に記載された公開日は2026年3月5日、157.04）、上側に来るのが Claude Mythos Preview（2026年4月7日のチェックポイント、164.82）。データ締切の2026年10月8日から見て、それぞれ7か月前と6か月前でした。これが「6-7か月」の中身です。
この数え方を押さえると、読み替えてはいけない方向が見えます。GLM-5.3 自体は2026年8月14日に公開されたモデルです。「公開から2か月のオープンモデルが、6-7か月前のクローズドに相当する」と読むのは、締切からの逆算という数え方を無視しています。そして1点の推定である以上、「オープンウェイトは常に6-7か月遅れる」という一般則としても使えません。
数字の強さと、土台の厚さは別に見る
能力指標の側にも、著者が明記した限界があります。こちらは数字の読み方を直接変えます。
モデルあたりの結果が少ない。 GLM-5.3 のスコアは CAISI の3件のベンチマーク結果から来ています。CAISI の7件のうち3件が2026年9月の GLM-5.3 評価で、それがこのモデルについて入手可能な唯一のサイバー結果です。Claude Opus 5.5 のスコアは、開発元が報告した4件から来ています。
首位の2つは、比較できる土台を持っていません。 Claude Opus 5.5 と GPT-6 Astra は共通のベンチマークを1つも持たず、両者の信頼区間はほぼ完全に重なっています。著者は中央推定値で比較していると述べ、モデル間の差の不確実性をより良く推定できる方法論の変更を予定しているとも書いています。つまり「171 対 160」という差に、有意かどうかの判定は付いていません。
モデルの同定が推定を含みます。 CAISI は評価した米国モデルの名前を公開しておらず、その結果を具体的なモデルに割り当てたのは発行元の判断です。「CAISI が特定の米国モデルを評価した」という形で名前を書くことはできません。
再推定でスコアが動きます。 10月の再度の当てはめで、上位のいくつかのスコアが下がりました。Claude Mythos 5 は3.9ポイント、GPT-5.6 Sol は4.7ポイント。著者は、以前の公表値と新しい値は直接比較できないと明記しています。過去記事の数字と並べた時系列グラフは、作れません。
ここまでを合わせると、能力側の指標は「方向を見るには使えるが、2モデル間の差を根拠に何かを決めるには足りない」という性格のものだと分かります。
確かなことと、まだ確かではないこと
整理します。
確かなこと：被害を報告した米国成人の割合が2つの時点で46%と45%だったこと。著者がそれを「検出できる変化はない」と表現していること。因果の特定も反事実の推定もしていないと明記していること。能力指標が2026年10月8日時点で6-7か月という差を推定していること。その数え方が締切からの逆算であること。首位2モデルの信頼区間がほぼ完全に重なっていること。いずれも一次情報の記載から直接確認できます。
まだ確かではないこと：AIが被害に与えた影響の向きと大きさ。企業のサイバー被害の傾向（この調査は米国成人個人への自己申告であり、企業は測っていません）。個別の被害種別に小さな変化があったかどうか（検出力が足りないと著者が書いています）。6-7か月という差がこの先どう動くか。
この線引きを曖昧にしたまま、どちらかの見出しを自社の判断材料にすると、資料が支えていない範囲まで結論を伸ばします。
同じ調査が、別の指標では上昇を記録していると書いている
この題材を「被害は増えていない」で閉じられない理由が、調査そのものの中にあります。
被害側の調査は、他の指標や公表された事例が、AIのサイバー能力が測定可能なセキュリティ上の帰結に影響している可能性を示唆していると述べています。発行元は深刻な脆弱性開示の急増を6月に記録し、7月にはさらなる増加を記録したと、同じ文章の中で触れています（それぞれ別の記事として公開されており、本記事ではその中身を確認していないため、増加幅や内訳には踏み込みません）。
そして自らの位置づけをこう書いています。この調査は別の帰結を見ている——より多くの普通の米国人が、サイバー被害を経験したと報告するようになったかどうかを。
同じ発行元が、同じ月に、別の窓から別の帰結を測り、片方では上昇を記録し、片方では検出可能な変化を見つけなかった。これは矛盾ではなく、測定の窓が違うということの実例です。脆弱性開示は「攻撃に使える穴が見つかった件数」を数えており、被害調査は「個人が被害を自己申告した割合」を数えています。両者のあいだには、攻撃者がその穴を使うかどうか、防御側が先に埋めるかどうか、被害が個人の認知に届くかどうかという段階が挟まっています。
なお、この論点をAIによる攻撃の実態そのものに広げると、別の記事の範囲になります。国内事案で何が確認されていて何が確認されていないかは、AIでサイバー攻撃は何が変わったのか｜相次ぐ情報漏えいから考えるが正面から扱っているので、そちらを起点にしてください。
外部の指標を読むときに立てる4つの問い
2つの指標の読み分けを、自社で使える形にします。能力指数や被害統計が資料に出てきたとき、順番に当てる問いです。
- 分母は誰で、分子は何を数えているか。 米国成人個人か、企業か、モデルか、ベンチマーク結果か。分母が自社と違うなら、その数字は自社の確率ではありません
- 著者は「ない」と書いたのか、「検出できない」と書いたのか。 原文の表現を確認します。この2つは、信頼区間の幅ぶんだけ意味が違います
- その数字は、何から何を引いて数えたのか。 「6-7か月」のような差分は、数え方で変わります。基準点（データ締切か、モデルの公開日か）を確認しないまま引用すると、別の主張になります
- その数字を支えている観測は何件あるか。 3件のベンチマーク結果から出たスコアと、30件から出たスコアは、見た目が同じでも強度が違います。共通の土台を持たない2つの数値を並べた順位は、順位として読めません
この4つを通した結果、多くの外部指標は「自社の判断には直接使えない」という結論になります。それは指標が悪いからではなく、指標が別の問いに答えているからです。使えるのは、指標が示す方向と、指標の限界が教えてくれる「何がまだ測られていないか」です。
自分でも試せる、最小の検証
15分で、外部指標が自社の判断に効くかどうかを確かめられます。
- 直近で社内に回ってきた、AIとセキュリティに関する数値を1つ選ぶ（提案資料・ベンダー資料・ニュース記事のいずれでもよい）
- その数値の分母を書き出す。書けなければ、原典を探す
- 原典に「信頼区間」「限界」「assumptions and limitations」に相当する記述があるか確認する。無ければ、その数値は方向の参考までです
- 原典の表現が「変化はなかった」なのか「検出できる変化はなかった」なのかを確認する
- 2〜4のどこかで止まったら、その数値は社内の意思決定の根拠から外す
ここで原典まで辿れた数値が1つでもあれば、その1つを基準に他の数値を評価できるようになります。辿れた数値がゼロなら、増やすべきは情報収集ではなく、原典を確認する手順です。
判断の土台として押さえておくこと
- 能力の指標は「できること」を、被害の指標は「起きたこと」を測っている。経路は長く、片方の動きがもう片方に同じ形で出るとは限らない
- 「検出できない」は「ない」ではない。信頼区間の幅に収まる変化は、あっても見えない
- 掲載条件を確認する。評価結果が2件以上あるモデルだけの表での首位は、全体の首位ではない
- 差分の数字は、基準点を確認してから引用する。締切からの逆算と、モデルの公開日からの経過は別の数え方である
- スコアを支える観測の件数を見る。共通の土台を持たない2つの値を並べた差は、差として読めない
より深く学ぶ
- AIでサイバー攻撃は何が変わったのか｜相次ぐ情報漏えいから考える：国内事案で確認されていること・されていないことの切り分け
- AIの能力向上と「信頼していいか」は、なぜ別問題なのか：能力の数値と導入判断を分けて考える枠組み
参考資料・引用元
- Caroline Falkman Olsson & Yafah Edelman, "US adults are no more likely to face cyber incidents than when Claude Fable 5 launched", Epoch AI Data Insights（2026年10月7日公開、CSVの更新日は2026年10月2日）. https://epoch.ai/data-insights/cyber-incidents-flat-since-fable-5（2026年10月24日確認）
- Jaeho Lee & Alexander Barry, "Open-weight models trail closed models in cyber capabilities by 6-7 months", Epoch AI Data Insights（2026年10月16日公開、データは2026年10月8日時点）. https://epoch.ai/data-insights/open-closed-cyber-eci-gap（2026年10月24日確認）