高度なAIのサイバー攻撃、どう対策？　企業が知るべき「スピード格差」の埋め方

公開 2026年08月20日 08時00分

[ITmedia]

印刷する

　米Anthropicの「Claude Mythos 5」や、米OpenAIの「GPT-5.6 Sol」をはじめ、高度なAIの登場によって、サイバーセキュリティの在り方に改めて注目が集まっています。これまで露呈しなかった脆弱（ぜいじゃく）性がAIによって明らかになれば、従来の脆弱性の管理や防御手法に影響が及ぶためです。金融機関をはじめとする各業界がその動向を注視しており、各国政府でも対応を巡る議論が進んでいます。

　しかし、サイバーセキュリティの在り方が180度転換するわけではありません。高度なAIによって露呈する脆弱性の性質はこれまでと同様です。変わりつつあるのは、既存のリスクが発見されてから悪用可能な形に転換されるまでの、一連のスピードです。

　高度なAIは単一のバグを発見するだけでなく、複数の弱点を結び付け、攻撃経路を分析できます。従来は高度な専門知識と時間を必要とした攻撃的リサーチを加速させる可能性があるのです。AnthropicがAIモデル「Claude Mythos Preview」を使って実施した検証では、熟練した専門家であれば数週間を要するエクスプロイト開発を、AIが数時間で実行した事例も報告されています。

　一方、企業など防御側の組織は、依然として人間による調査、優先順位付け、承認、修復の調整に大きく依存しています。AIによる脆弱性の発見や攻撃支援が高速化しているにもかかわらず、防御側の意思決定と対応が従来の速度にとどまれば、その速度差がリスクを増幅させます。

　問うべきは、「AIがサイバー攻撃を可能にしたのか」ということだけではありません。攻撃側と防御側の時間軸が変化する中で、組織がどのように意思決定を速め、どこまで自動化を信頼し、どの判断に人間の監督を残すべきかという点です。

攻撃を遅延させ、防御を加速させる

　AI時代のサイバーセキュリティでは、「時間」の価値がさらに高まります。攻撃者がAIを使って脆弱性を探索し、攻撃経路を試行する場合にも、計算資源、トークン、インフラ、運用のコストが発生します。

　サイバーセキュリティサービスを提供する仏Thalesによると、10件の脆弱性を意図的に組み込んだ実験用バイナリを使ってテストを行ったところ、保護されていないバイナリではAIが3分10秒で8件の脆弱性を検出しました。

　一方、保護されたバイナリでは約6時間43分にわたり3億3200万トークンを消費しても、脆弱性を1件も特定できませんでした。限定された条件下でのテストではありますが、攻撃者がAIを使ったとしても、分析に時間と計算コストを課すことができれば、修復までの猶予を確保できる可能性を示しています。

　同時に、防御側もAIを活用し、ソフトウェアテスト、脆弱性の早期発見、コードレビュー、設定ミスの検出、インシデント調査などを加速させることができます。組織は、利用しているソフトウェアやテクノロジーのベンダーに対しても、AIをセキュリティテストや脆弱性管理にどのように組み込み、発見事項の検証、優先順位付け、修復を行っているか確認する必要があります。

　また、開発段階だけでなく、稼働中のアプリケーション、API、ランタイム環境、データアクセスに対する可視性と制御も強化しなければなりません。人間のユーザーに加え、AIエージェント、API、サービスアカウントを含む非人間アイデンティティーについても、権限、承認経路、利用ログ、説明責任を明確にすることが重要です。