「AI脆弱性の嵐」から半年　～　4月の予測はどこまで現実になったか

コメントをどうぞ

2026年10月17日
AIWGメンバー　諸角昌宏

はじめに

2026年4月19日の本ブログで、CSA、SANS、[un]prompted、OWASP GenAI Security Projectなどが共同でまとめた緊急戦略ブリーフィング「AI脆弱性の嵐（AI Vulnerability Storm）：『Mythosレディ』なセキュリティプログラムの構築」の日本語版を紹介した［1］［2］。Claude Mythos Previewの発表を受けて、AIによる脆弱性の発見と悪用が加速する世界に、組織がどう備えるべきかを示した文書である。

この文書の特徴は、強い危機感と具体的な時間軸にあった。今週着手すること、45日以内、90日以内、12か月以内という区切りで優先アクションを示し、取締役会には「90日計画」を求めた。言い換えれば、「四半期の単位で動かなければ間に合わない」という見立てである。 それから約半年がたった。日本では9月下旬から、不正アクセスによる情報漏えいの公表が連日のように続き、10月にはJPCERT/CCが一連の事案の攻撃者によるAIの利用を確認したと公表した。本ブログでは、4月の文書が何を予測し、何を求めていたかを原文に沿って振り返り、この半年で何が現実になり、何が予測と違ったのかを整理してみたい。

1. 4月の文書は何を予測していたか

原文は、次のような見通しを示していた［2］。

論点原文の記述（要旨）
能力の拡散同等の攻撃能力は、他のフロンティアモデルには数か月以内に、オープンウェイトモデルには6か月から1年以内に現れる
悪用までの時間脆弱性の公開から悪用までの時間は分単位に短縮されている。いわゆる「ゼロデイ・クロック」は2026年に1日を切った
脆弱性の量脆弱性の公表の頻度と量は、これまでに経験したことのない水準になる
攻撃の担い手平均的な犯罪者が、かつては国家レベルの資源が必要だった能力を持つようになる
インシデント同じ週に複数の重大インシデントが同時に起きる事態を想定した机上演習を行うべき
影響ただし、悪用までの時間の短縮は、まだ悪用の影響の比例的な増大にはつながっていない

最後の一文にも注目しておきたい。4月の時点では、「速度の変化はすでに起きているが、被害の規模にはまだ表れていない」という認識だった。この点が半年後にどう変わったかは、後述するとおり、事故の増加とAIとの関係が明確になっていない現時点では判断できない。

そのうえで文書は、11の優先アクションに着手時期と完了の目安を付けている。

優先アクション着手目安
1. コードとパイプラインにAIエージェントを向ける今週継続
2. AIエージェントの導入を必須にする今週継続
3. 自組織のエージェントを守る今月45日
4. イノベーションと加速のガバナンスを整える今週6か月
5. 継続的なパッチ適用に備える今週45日
6. リスクモデルと報告を更新する今週45日
7. アタックサーフェスを棚卸しし、縮小する今月90日
8. 環境を堅牢化する今月6か月
9. ディセプション（おとり）の能力を作る90日以内6か月
10. 自動対応の能力を作る90日以内12か月
11. VulnOpsを立ち上げる6か月以内12か月

4月から数えれば、45日の目安は5月末、90日の目安は7月中旬にあたる。9月下旬の時点で、アクション3、5、6、7はすでに目安を過ぎ、1と2は着手から5か月がたっている。さらに、6か月が目安のアクション4、8、9も、一連の事案のさなかの10月中旬に期限を迎えている。

2. この半年で現実になったこと

2.1 能力の拡散は、予測どおりか、それより早く進んだ

英国AI安全研究所（AISI）は4月30日、GPT-5.5の初期版の評価結果を公表した。専門家レベルのサイバータスクの平均合格率は、GPT-5.5が71.4%、Mythos Previewが68.6%で、ほぼ同水準だった［3］。IPAの「AIセキュリティ短信」2026年9月号は、AIのサイバー攻撃能力が初めてOpenAIの基準で「Critical」水準に達したことを取り上げている［4］。「他のフロンティアモデルには数か月以内」という予測は、ほぼそのとおりに進んだ。

より注目すべきは、攻撃の現場で使われているAIである。Gambit Securityが9月に公表した暫定報告では、攻撃者は3種類のオープンソースのAIエージェントツールを組み合わせ、脆弱性の探索から侵入、データの持ち出しまでの大部分を自律的に実行させていた。1標的あたりのコストは平均で約25ドルにすぎない［5］。AIエージェントを利用することで、一部の攻撃者が比較的低コストで大規模な攻撃を実行できることが示された。これは高度な攻撃能力の利用コストが低下していることを意味するが、平均的な犯罪者が同等の能力を獲得したとまでは断定できない。

2.2 自律的な攻撃が観測され始めた

Google Threat Intelligence Groupは9月、攻撃者のAI利用が「プロンプトで指示する段階から自律へ」移りつつあるとする報告を公表した［6］。IPAの9月号も、AIエージェント群による政府機関への自律的な侵入や、AIエージェントによって企業への侵入が10時間に短縮された事例を紹介している［4］。

そして国内でも、JPCERT/CCが10月15日、一連の不正アクセス事案で攻撃に使用された可能性のあるインフラを調査した結果、「攻撃者がAIを利用して、既知の脆弱性のスキャンやAPI経由での攻撃などを実施していたことを確認しました」と公表した［7］。同日の報道では、AIエージェントの使用や、標的の選定からデータの窃取までが自動化されていた可能性に言及している。ただし公表文書は「AIを利用して」という表現にとどまり、個別の事案との対応や、どこまで自律的だったかは示していない。

2.3 「同時多発」は、日本で起きた

4月の文書が机上演習の題材として挙げた「同じ週に複数の重大インシデント」は、9月下旬以降の日本で、ほぼそのままの形で現れた。Aioright Technologiesの集計では、7月1日から10月4日までに検知または公表された確認済みのサイバー攻撃126件のうち、公表月で見ると8月に47件、9月に57件が集中している［8］。なお、件数は公表単位で数えたもので、全数調査ではなく、公表の時期と発生の時期も一致しない。警察庁によれば、2026年上半期のランサムウェア被害の報告件数も123件で、半期として過去最多となった［9］。

委託先1社への侵害が複数の組織の被害につながる事例も目立った。問い合わせ管理システムの提供会社への不正アクセスでは、証券会社、保険会社、製造業者などが相次いで顧客情報の漏えいの可能性を公表している［10］。4月の文書は「サプライチェーンは影響を受ける」と書いていたが、それが具体的な形で表れた。ただし、こうした事案の増加とAIの利用との因果関係は、現時点では示されていない。

2.4 規制当局は「四半期」より速く動いた

金融庁と日本銀行は5月22日、脆弱性の発見から攻撃に至るまでの期間が大幅に短縮され得るとして、金融機関等に9項目の短期的な対応を、概ね1か月程度を目途に進めるよう要請した［11］。優先システムの特定、技術負債の解消、リスクベースのパッチ適用、停止への備えなど、内容は4月の文書の優先アクションと大きく重なる。要請自身は、これらを「応急的措置」と位置付け、中長期的には脆弱性対応の自動化等への移行が必要としている。さらに金融庁は10月9日、委託先を含むサードパーティのリスク管理の再点検と、ICチップによる本人確認への早期移行を求めた［12］。

3. 予測と違ったこと

一方で、この半年の出来事は、4月の議論がそのまま現実になったわけではないことも示している。

3.1 機械速度は、最先端のAIを待たずに来た

4月の文書の中心にあったのは、機械速度で動く攻撃と、人間の速度で動く防御との非対称性だった。その速度をもたらすものとして想定されていたのは、Mythosのような最先端モデルによる脆弱性の発見と悪用の加速である。しかし、これまでに公表された攻撃で使われていたのは、オープンソースのエージェントツールや一般に利用できるAIだった。機械速度の攻撃は、最先端モデルの能力が広く行き渡るのを待たずに、手頃なAIと既存の手口の組み合わせで現実になった。

3.2 突かれたのは、多くが以前からある弱点だった

JPCERT/CCが確認したAIの用途は、既知の脆弱性のスキャンと、スマートフォンアプリを解析してその裏側にあるAPIの弱点を探す行為だった［7］。推奨している対策も、アプリに秘密鍵を埋め込まない、サーバー側で認証・認可を行う、レート制限と監視を行うといった基本的なものである。Gambit Securityの事例でも、使われたのはSQLインジェクションやファイルアップロード機能の不備、設定ファイルに残された認証情報だった［5］。注意喚起の対象には公開前に悪用された脆弱性に関わるものも含まれるが［13］、全体として見れば、AIが未知の脆弱性を見つけて侵入したというより、既知の弱点を探して突く作業が速く、安く、大規模になったと見る方が実態に近い。

3.3 入口は、自社の中心ではなく周辺にあった

金融分野では、9月下旬以降に公表された主な事案の入口が、自社の中心的なシステムではなく、委託先や周辺のシステムだった［10］［14］［15］。

事案（公表時期）入口（公表時点）5月の要請との関係
大和証券、損保ジャパン、オリックス生命（10月5〜8日）問い合わせ管理を委託していたFAQシステムの管理サイトへの不正ログイン（アカウントの入手経路は未公表）要請は優先システムを絞り込む構成で、周辺業務の委託先は対象に入りにくい
IDARE（キャッシュレスアプリ、10月中旬）顧客対応などに使う外部ソフトウェアの脆弱性（ソフトウェア名は非公表）要請には、外部のソフトウェアやサービスに預けた顧客データの扱いについての記述がない
内藤証券、大和総研（10月15日）運用を委託しているネット取引システムのWebサーバー（侵入経路は調査中）要請が最優先とした外部公開システム。ただし委託先に関する項目は、パッチ適用作業の契約と役割分担の確認にとどまる

5月22日の短期的要請では、脆弱性への迅速な対応や重要な外部公開システムの保護が重点的に取り上げられた［11］。一方、今回の事案は、委託先や周辺システムに預けた顧客データまで含めて、組織全体のアタックサーフェスとリスクを把握する必要性を改めて示した。なお、金融庁は別途、「金融分野におけるサイバーセキュリティに関するガイドライン」でサードパーティリスク管理を求めており［17］、5月の要請だけをもって委託先対策が欠落していたと評価することは適切ではない。10月9日の注意喚起でも、このガイドラインなどを踏まえ、委託先を含むサードパーティのリスク管理の再点検をあらためて求めている［12］。

一方で、筆者が確認した範囲では、それ以外の部分、つまり銀行の基幹系やインターネットバンキングなど、要請が最優先とした金融機関自身の中核システムが直接破られたという公表は見当たらない。公表がないことは被害がないことを意味しているわけではないし、これを要請の効果と断定する材料もないが、守りを固めるよう求められた中心部ではなく、その外側から入られたという構図ははっきりしている。4月の文書のアクション7（アタックサーフェスの棚卸しと縮小）は、自社のシステムだけでなく、委託先や外部に預けたデータまでを範囲に含めなければならない。

4. 「四半期の行動」は間に合ったのか

では、4月の文書が求めた行動は、この半年に間に合ったのだろうか。各組織がどこまで実行したかを示す資料はなく、実行した組織の被害が少なかったかどうかも検証できない。ただ、9月以降に突かれた弱点と、優先アクションを並べてみると、どの行動が問われたのかは見えてくる。

9月以降の事案で問われたこと対応する優先アクション4月時点の目安
既知の脆弱性の放置5. 継続的なパッチ適用に備える45日
公開されたAPI、アプリ、委託先のシステムの把握漏れ7. アタックサーフェスの棚卸しと縮小90日
認証情報の悪用、横展開8. 環境の堅牢化（フィッシング耐性MFA、セグメンテーション）6か月
影響範囲と復旧速度の評価6. リスクモデルと報告の更新45日
大量・短時間のアクセスの検知と遮断10. 自動対応の能力12か月

問われたのは、新しいAI防御の仕組みではなく、45日から90日で終えるはずだった基本だった。4月の文書が「基本への集中を強めよ」をKey Takeawaysの一つに掲げていたことを、改めて思い起こしたい。

まだ基本ができていない組織へ

この半年で最も大きく変わったのは、攻撃の費用である。1標的あたり約25ドルで自動化された攻撃を仕掛けられるのであれば［5］、「うちは狙われるほどの価値がない」という前提は成り立たなくなりつつある。警察庁の統計でも、2026年上半期のランサムウェア被害123件のうち79件は中小企業だった［9］。規模や業種にかかわらず、基本の穴がある組織は、手頃なAIによる網羅的な探索の対象になると考えるべきである。

4月の文書が45日から90日で求めた基本が、まだできていない組織は少なくないはずだ。そうした組織に必要なのは、次の四半期の計画を立てることよりも、今すぐ着手することであると考える。少なくとも次の点は、新しい製品を導入しなくても速やかに取り組める内容である。

  • 外部から見えるものを棚卸しする：Webサイト、管理画面、API、スマートフォンアプリ、VPN機器に加え、委託先のシステムに預けている顧客データも対象に含める
  • 既知の脆弱性を塞ぐ：特に、すでに悪用が確認されている脆弱性（KEV）を優先して修正する［16］
  • 認証を固める：管理画面と特権IDに多要素認証を導入し、使われていないアカウントやテスト環境を削除する
  • APIとアプリを見直す：アプリに秘密鍵や長期間有効な認証情報を埋め込まない。サーバー側で認証・認可を行い、レート制限と異常なアクセスの監視を設ける［7］
  • 持たなくてよいデータを捨てる：退会者の情報や、目的を終えた本人確認書類の画像など、保有し続ける理由のないデータを削除する

この5項目は、全体として、JPCERT/CCが一連の事案を受けて推奨した対策や、4月の文書の優先アクション5、7、8と重なる。攻撃が機械速度で網羅的に行われる以上、守りの穴は「いつか見つかる」のではなく「すぐに見つかる」と考えて動く必要がある。

5. まとめ：短期の対応が必要だという見立ては裏付けられた

4月の文書が示した短期間での対応の必要性は、この半年に観測されたAI利用攻撃の進展によって、改めて裏付けられた。一方、日本で相次いだインシデントがすべてAIの普及によって引き起こされたと結論づけることも難しい。今回明らかになったのは、攻撃の自動化が進む環境において、従来から存在する脆弱性や認証・認可の不備への対応を先送りできなくなっていることである。問われたのは、先送りしてきた基本であった。

次の半年に向けて考えておくべきことが二つある。第一に、オープンウェイトモデルが同等の能力に達するという「6か月から1年」の時期に、いま入りつつある。攻撃の民主化はさらに進む前提で備える必要がある。第二に、4月の文書が6か月から12か月の目安としていたアクション、つまり環境の堅牢化、ディセプション、自動対応、そしてVulnOpsの立ち上げが、これから本番を迎える。

Mythosレディとは、一度到達すれば終わる状態ではない。次の四半期に何をするかを、四半期ごとに見直し続けることである。半年前の文書は、そのことを予告していたといえる。

参考資料

以上

コメントを残す

メールアドレスが公開されることはありません。 ※ が付いている欄は必須項目です