オープンモデル普及で“お手軽”になるサイバー攻撃　防御側が今すべき「侵入前提」の対策

　AIはもはや、サイバー攻撃のほぼ全ての工程に利用されている――。米GoogleのGoogle Threat Intelligence Group（GTIG）が2026年5月に公開した脅威レポートは、生成AIが攻撃者のワークフローに「産業規模」で組み込まれつつある現状を報告した。中でも懸念されるのが、誰でも入手でき、ベンダーによる制御が効きにくい高性能な「オープンウェイトモデル」の存在だ。このような状況下で防御側はどう備えるべきか。専門家への取材から探る。

AIは攻撃の「ほぼ全工程」に浸透

　サイバー攻撃のさまざまな場面においてAIの浸透が進んでいる。GTIGのレポートは、AIを使って開発されたとみられるゼロデイ脆弱（ぜいじゃく）性のエクスプロイトを、脅威アクターが使おうとしていた事例を「初めて特定した」と報告した。あるサイバー犯罪グループは、広く使われるオープンソースのWeb管理ツールに存在する二要素認証のバイパスにつながるゼロデイ脆弱性を発見し、大規模な攻撃に使おうとしていたという。

　注目すべきは、この脆弱性が、メモリ破損のような典型的な実装ミスではなく、開発者による高度なロジックの欠陥だった点だ。GTIGは、従来の脆弱性スキャン手法が見逃しがちなこうした「休眠状態のロジックエラー」を、文脈を読んで推論する最新のLLMがあぶり出せるようになりつつあると分析する。中国や北朝鮮に関連する攻撃者も、脆弱性発見へのAI活用に強い関心を示しているという。

クローズドとの違いは「制御が効くかどうか」

　このような攻撃は、主にクローズドモデルの商用アカウントを不正に利用して行われていると報告されているが、より自由に利用できるオープンウェイトモデルの高性能化によって、この環境は変化するのか。アクセンチュアの日本法人でサイバーセキュリティ事業を統括する藤井大翼氏は、オープンウェイトモデルとクローズドモデルとの違いを「開発ベンダーの制御が効くかどうか」だと説明する。

　クローズドモデルにはモデル自体の安全対策だけでなく、アカウント登録や利用規約、利用状況を監視する仕組みなどの対策が施されており、悪用のハードルは高い。

　一方、オープンウェイトモデルは重みを一度ダウンロードすれば、ユーザーは監視されずに利用でき、発行元が後から回収したり制御したりするのも難しい。公開元のモデルに安全対策が施されていても、追加学習によって有害な挙動の拒否傾向を弱めたバージョン（いわゆる「無検閲版」）を作ることもできる。「使えるようになるまでのプロセス、そのハードルが大きく下がった」（藤井氏）。

「性能が低くても使える」現実

　日々新たなオープンウェイトモデルが公開されており、性能面では依然として米Anthropicや米OpenAIのクローズドモデルが一歩リードしているとされるが、オープンウェイトモデルを利用した攻撃はどの程度有効なのか。

　藤井氏によれば、最先端のクローズドモデルほどの性能がなくても、脆弱性は「相当見つけられる」のが実態だという。何十年も見つからなかったような深い脆弱性を掘り当てるには高性能モデルが要るが、金銭目的の攻撃者の多くは「安く、早く、リターンが大きい」ことを優先する。「時間とお金をかけてゼロデイ（脆弱性）を狙うより、素早く攻撃できる脆弱性を見つける方がコストに見合う」（藤井氏）。

　つまり、オープンウェイトモデルの普及は「高度な攻撃の裾野を一気に広げる」というより、もともと存在した「簡単な標的を大量に見つけて突く」攻撃をさらに効率化するということだ。攻撃対象になりそうなWebサイトを素早く洗い出すといった偵察が主な用途になるという。

　一方で、AIが大量の企業を同時に調査し、実入りの大きい標的を自動で選別して攻撃まで完結させる――そんな「完全自律」の世界は「まだ広く普及しているわけではない」と藤井氏はみる。理由はコストだ。「GPUやサーバのリソースには限りがある。費用対効果を考慮して、現在は人間を補助する用途に留める攻撃者が多いと思われる」。

　では、このような環境下で攻撃対象になりやすいシステムの特徴はあるか。藤井氏によれば、AIによって攻撃が効率化されれば、従来は割に合わなかったが、より多くの金銭を引き出せる標的へ攻撃が移る可能性が高い。具体例として同氏が挙げたのが金融や仮想通貨関連のシステムだ。

　加えて、AI企業そのものも標的になっているという。GTIGのレポートも、AIが「攻撃の高度なエンジン」であると同時に「価値の高い標的」でもあるという二面性を強調している。実際、AIソフトウェアのサプライチェーンを狙う攻撃も観測されており、AIエージェント向けのスキルパッケージに悪意あるコードを仕込む手口や、複数のLLMをつなぐゲートウェイの侵害などが報告された。

防御の要は「侵入前提」

　サイバーセキュリティにおいては、攻撃側は1度でも成功すればメリットがあるが、防御側は膨大な攻撃経路を継続的に防ぐ必要がある。大量の攻撃を仕掛けるサイバー犯罪者と、それらを防ぐ企業の攻防はAIの登場によって「より激しくなる」と藤井氏はみる。

　企業が今すぐ取り組むべき対策として、まず藤井氏が挙げたのが「侵入されること」を前提にした被害低減策だ。AIによって激化する攻撃を全て防ぎきれるとは限らない。だからこそ、事業継続計画（BCP）の策定やデータのバックアップ、ネットワークを細かく区切る「マイクロセグメンテーション」など、侵入された後に被害を最小化し、事業を継続して早期復旧を目指す投資を重視すべきだという。これは従来のランサムウェア対策の要点と変わらない。

　「情報を与えない」ことの重要性も藤井氏は指摘した。AIは小さな手がかりを基に推論し、仮説を組み立てて攻撃する。逆に情報が乏しければ、推論の精度は下がる。藤井氏は「いかに自分たちの環境を隠蔽するかが重要」と指摘する。外部イベントで語られる技術スタック、Webページのソースコードといった公開情報の断片が攻撃の推論の材料になる可能性がある。あえて偽の情報を渡して推論を誤らせる「デセプション」も一つの手だ。

　藤井氏によれば「パッチ負債」対策も重要だ。脆弱性が猛烈な勢いで見つかる中、修正パッチの適用が追いつかない。「土日も深夜も作業しているが当てきれず、リスクだけが積み上がる」という声が近年顕著になっているという。日本企業はシステムが複雑な上、事前検証や手順書作成、事後確認に時間をかける慣行が重荷になりやすい。対策として、クラウドへの移行でパッチを当てる“面積”を減らす、検証やテストといった前後の工程をAIで効率化する、といった動きが出ているという。

　防御にAIを使うのは有効だが「自社の情報がどこに渡るか」にも細心の注意が必要だ。藤井氏は「防御を強化しようと自社の情報をAIに与えていたら、そのAIベンダーが攻撃を受けて情報が流出した――となれば、一気に攻撃者に利する」と注意を促す。アクセンチュアの顧客の中ではデータの保存先や学習利用の有無を細かく確認した上でAIによる脆弱性スキャン環境を整える企業が増えており、AIを自社の制御下に置く「ソブリンAI」への関心も高まっている。

　もっとも藤井氏は、防御側が悲観する必要はないとも語る。「脆弱性は攻撃者も見つけられるが、防御側も見つけられる。しかも防御側の方が、自社の情報を多く持っている」。自ら脆弱性を見つけて先に直しておけば、攻撃者に先んじることができる。ソースコードのスキャンにとどまらず、AIを使ったレッドチーム演習や侵入テストで「自分の弱点を自分で見つける」ことが、これまで以上に効果的になるという。

　攻撃者と防御側が同じAIを手にする時代。制御を逃れた高性能モデルが攻撃を“お手軽”にする一方で、防御側にも同じ武器が渡されている。侵入を前提に被害を抑える備えと、防御側自身のAI活用。これらを両輪で進められるかが、企業の事業継続を左右しそうだ。

この記事の著者

関連記事

• 

  なぜいま30Bクラスのオープンモデルが“熱い”のか　「27BパラメータでOpus 4.6超え」も

• 

  MythosとGPT-5.6 Solが性能テスト中に暴走　OSSメンテナーに圧力、有害コード実行図る　英政府機関

• 

  Chromeに13年以上潜んでいた脆弱性、AIで発見　直近2回のアプデで過去23回分を上回るバグ修正