AIエージェントが生み出す新たなサイバーセキュリティの攻撃経路
Engadgetがサイバーセキュリティ報道の焦点を変えたことは、2026年に無視しにくくなった対立を反映している。AIシステムは現在、脆弱性の発見、攻撃の組み立て、人間の指示をより少なくしたツールの運用を支援している。
差し迫った危険は、何でも知る機械ハッカーではない。ソフトウェアを繰り返し調査し、考えられる弱点を試し、次の行動を適応させられるエージェントだ。この組み合わせにより、かつては相当な時間と専門的な労力を要した作業が圧縮される。
この変化は、サイバーセキュリティの双方に圧力をかける。攻撃者は侵入プロセスのより多くを自動化できる一方、防御側はコードレビューや欠陥発見のための高速なツールを得る。競争の焦点は、どちらが発見を検証し、先に行動できるかへと移っている。
EngadgetがAI支援からAIによる行動へと焦点を移す
重要な変化は、AIがセキュリティ担当者への助言から、彼らの業務の連続した部分を実行する段階へ移行したことだ。
セキュリティチームは長年にわたり機械学習を利用してきた。初期のシステムは通常、マルウェアの分類、アラートのスコアリング、異常なネットワーク活動の検知を担っていた。その出力は依然として人間が管理するワークフローを経由していた。
生成AIはその役割を拡張した。モデルは不審なコードを説明し、フィッシング文面を下書きし、サーバーをテストするためのコマンドを提案できる。しかし通常は、人が出力をコピーし、コマンドを実行し、結果を確認し、次の手順を選ぶ必要があった。
AIエージェントはこうした中断を減らす。エージェントとは、ツールに接続され、複数の手順にまたがって行動を選択できるモデルのことだ。結果を読み、計画を更新し、新たな人間のプロンプトを待たずに別のツールを呼び出せる。
この違いこそ、Engadgetの記事の背景にあるサイバーセキュリティ上の警告に切迫感を与えている。リスクは、チャットウィンドウ内で回答が良くなることではなく、反復的な行動にある。
有能なエージェントは、標的をスキャンし、エラーを解釈し、ペイロードを修正し、成功した内容を記録できる。こうした各行動そのものは、まったく新しいものではない。それらの連携を自動化することで、プロセス全体の速度とコストが変わる。
Anthropicは、2025年9月に検知されたサイバースパイ活動を調査した後、この移行について説明した。同社によると、脅威アクターはClaude Codeと外部のセキュリティツールを用い、作戦のかなりの部分を自動化していた。
同社はこの事案を、主にAIによって遂行された最初の報告済みサイバースパイ活動と位置付けた。この説明はあくまで同社の評価であり、すべてのセキュリティ研究者が受け入れる普遍的な分類ではない。
Anthropicは重要な制約も認めている。モデルは時に認証情報を捏造したり、公開情報として入手可能な情報を発見したと主張したりした。人間のオペレーターは依然として結果を検証し、システムを軌道修正する必要があった。
この制約は、現在の危険と推測を分ける点で重要だ。現在のエージェントは高コストなミスを犯し、文脈を見失い、出力を誤読する可能性がある。それでも、信頼性の低いエージェントであっても攻撃者の試行回数を増幅しうる。
同じ原理はすでに正当なセキュリティ研究にも影響している。モデルが有用になるために完全な判断力は必要ない。熟練した担当者がより多くの標的を調査できるだけの反復作業を削減すればよい。
その結果、運用のテンポが変わる。セキュリティチームは、偵察、脆弱性テスト、エクスプロイトの適応が、より密接に連続して行われうると想定しなければならない。かつて猶予を与えた開示期間は、大幅に短縮される可能性がある。
これが、Engadgetが議論を変えたことの最初の実質的な意味である。AIはもはや悪意ある文章を生成するだけではない。判断、ツール、行動を攻撃ワークフローへ結びつけ始めている。
AIによるサイバーセキュリティへの影響は対応の遅い防御側に最も重くのしかかる
AIは、ソフトウェアや攻撃者よりもセキュリティプロセスの動きが遅い組織への圧力を高める。
最も危険にさらされる組織は、必ずしも最先端のAIシステムを運用している組織ではない。古いアプリケーション、不完全な資産台帳、遅延したパッチ適用、人員不足のセキュリティチームを抱える組織であることが多い。
攻撃者に必要なのは、常に実行可能な経路を一つ見つけることだけだった。防御側は、業務システムを利用可能な状態に保ちながら、意味のある経路をすべて閉じなければならない。自動化は、攻撃者が一度により多くの可能性を試せるようにすることで、この非対称性を強める。
Georgia Techの研究者は、AIが現在最も大きな効果を発揮するのは攻撃の初期段階だと主張している。この段階には、弱点の発見、標的の調査、システムへの侵入経路になり得る手段の開発が含まれる。
この評価は、AIハッキングに関する最も劇的な解釈に異を唱える。短期的な脅威は、必ずしも機械がまったく未知の攻撃カテゴリを発明することではない。防御側が見落とした弱点を急速に探索することだ。
AIは文書を読み、ソフトウェアのバージョンを比較し、スクリプトを生成し、スキャンツールからの応答を解釈できる。また、セキュリティチームが個別に確認すれば無害に見える情報を組み合わせることもできる。
忘れられたテストサーバーは、エージェントがそれを露出した認証情報と結びつけると、より危険になる。古いライブラリは、エージェントがその正確なバージョンを使用する到達可能なサービスを発見すると、より重大な意味を持つ。
これにより、優先順位付けの問題が生じる。従来の脆弱性管理プログラムは、多くの場合、個々のソフトウェア欠陥に付与された深刻度評価から始まる。攻撃者がより重視するのは、複数の中程度の弱点が利用可能な経路を形成するかどうかだ。
エージェントは、こうした組み合わせを継続的に探索できる。設定、認証情報、ネットワークアクセス、公開済みの脆弱性を比較しても疲れることはない。その持続性により、通常のチケットキューでは見えない攻撃経路が露呈する可能性がある。
必要となる対応は、技術面だけでなく組織面にも及ぶ。セキュリティチームは、どの資産が重要か、誰がそれに到達できるか、個別の弱点がどのように相互作用するかを理解する必要がある。別のアラート製品を導入しても、所有責任の欠如は解消されない。
圧力はソフトウェア保守者にも及ぶ。AI支援の研究者は、小規模なプロジェクトが検証できる以上の脆弱性報告を生成できる。基盤となるモデルが誠実に動作していたとしても、誤った報告は時間を消費する。
Natureは、Mozillaがフロンティアモデルを利用し、Firefoxのあるリリース向けに271件の脆弱性の発見と修正を支援したと報じた。Firefoxのセキュリティ対応は、AIの防御上の可能性と、レビュー量を増加させる能力の両方を示している。
検証済みの発見は、攻撃者が到達する前にソフトウェアを改善できる。一方で、不確実な発見が殺到すれば、保守者を圧倒し、最も重要な修正を遅らせる可能性がある。どちらの場合も、人間による検証は希少なリソースであり続ける。
このボトルネックは、Engadgetが強調点を変えたことが劇的なハッキング事例を超えて重要である理由を説明している。AIは、単一の攻撃の高度さだけでなく、組織が評価しなければならないもっともらしい発見の数を変える。
成熟した資産台帳と迅速なパッチ適用プロセスを持つ企業は、防御上の優位性を得る。システム所有者を特定できない組織は、検知ツールが高性能なモデルを使っていたとしても苦戦するだろう。
これは、即時の影響を伴う主として長期的な圧力である。根本的な弱点の多くはすでに存在していた。AIは、組織が注目を集めずにそれらを未解決のまま放置できる期間を短縮する。
真の対立は自動化と検証の間にある
AIは攻撃と防御の双方を加速できるが、生成された活動を信頼できるセキュリティ業務へ変えるのは検証だけである。
これが中心的なトレードオフだ。エージェントは機械の速度で行動を生み出す一方、信頼できるセキュリティ判断には依然として証拠が必要である。この隔たりは、攻撃の成功と防御側の過負荷の両方を形作る。
攻撃者は、生成されたエクスプロイトのすべてを成功させる必要はない。失敗した試みを捨て、テストを続ければよい。防御側は、通常の業務を混乱させずに、生成されたすべての警告を確認済みのインシデントとして扱うことはできない。
この違いは攻撃側の試行錯誤を有利にする。犯罪者は、失敗するたびにモデルへスクリプトの書き換えを依頼できる。追加の試行にかかるコストは、多くの場合、防御側が追加のアラートを調査するコストより低い。
しかし、自動化によって本格的な侵入に必要な専門知識が不要になるわけではない。モデルは標的を誤解し、技術的な詳細を捏造し、経験豊富なオペレーターなら維持するアクセスを損なう可能性がある。
Anthropicによる2025年のスパイ活動の説明は、両面を捉えている。同社のキャンペーン調査によると、アクターは偵察、エクスプロイト、認証情報の収集、データ分析にわたり、Claudeをオペレーターとして利用した。
報告書はまた、人間が標的を選定し、重要な局面で介入したとしている。Anthropicは、システムのハルシネーションが完全自律型の攻撃にとって依然として障害であると結論付けた。
こうした留保を、自己満足の言い訳にしてはならない。不完全なエージェントであっても、人間が最も有望な結果を確認するまでに、数百件の低コストな作業を実行できる。
より適切な比較は、AIとエリートハッカーの対比ではない。従来のツールを使う一人のオペレーターと、複数の半自律的なワークフローを監督する一人のオペレーターの比較である。
後者のオペレーターは、より多くの標的を調査し、より多くのテストを繰り返し、より多くの記録を残せる。エージェントは、技術資料を翻訳したり、既知の手法を未知のソフトウェア環境に適応させたりすることもできる。
理論上、防御側も同等の利点を得られる。エージェントを展開し、コードの検査、報告されたバグの再現、設定のレビュー、インシデント後のログ検索を行える。
しかし実際には、防御での利用にはより厳しい制約がある。セキュリティチームは、本番環境の可用性、顧客データ、証拠の完全性を守らなければならない。モデルが生成したすべてのコマンドを、稼働中の環境に対して自由に実行することはできない。
このため、サンドボックス化が不可欠になる。サンドボックスとは、コードやエージェントが到達できる範囲を制限する隔離環境である。しかし、ツールの権限、認証情報、ネットワーク経路が広すぎるままであれば、隔離は機能しない。
したがって、セキュリティモデルはエージェントの完全な実行環境を対象にしなければならない。言語モデルだけを保護しても、そのブラウザ、コマンドシェル、コネクター、保存済み認証情報、取得した文書は露出したままとなる。
NISTによるエージェントセキュリティ対応のレビューでは、確立されたサイバーセキュリティ原則が依然として重要だという幅広い合意が確認された。同機関のエージェントセキュリティ分析は、こうした原則を自律システム向けに適応させる必要があるとも結論付けた。
最小権限の原則は引き続き有用だが、エージェントの権限は接続されたツール間で変化しうる。ログ記録も有用だが、高速なエージェントはチームが手動でレビューできる以上のイベントを生み出す可能性がある。
人間による承認も有用だが、意味のない確認プロンプトは新たなエラー源となる。人が不透明な行動を数十件も承認するなら、その統制は書面上にあるだけだ。
したがって実務上の競争は、自動化と検証の間にある。安価な試行錯誤が一つの成功につながるとき、攻撃者は利益を得る。自動化された発見が悪用開始前の検証済みパッチにつながるとき、防御側は利益を得る。
どちらの結果も、モデルだけで保証されるものではない。導入に関する選択によって、AIエージェントが有用な分析者になるのか、信頼性の低いノイズ生成装置になるのか、あるいは制御不能なオペレーターになるのかが決まる。
新たなAI攻撃経路はエージェント自体を標的にする
AIエージェントは、従来のアプリケーションでは露呈しなかった脆弱性を持ち込みます。これまでのソフトウェアでは、取得したテキストの大半を単なるデータとして扱っていたためです。
最も分かりやすい例が、プロンプトインジェクションです。プロンプトインジェクション攻撃では、モデルが読み取るコンテンツ内に指示を埋め込み、モデルがそれをコマンドとして扱うことを狙います。
通常のブラウザは悪意ある一文を表示するだけです。しかしAIエージェントは、同じ一文を解釈し、別のツールにアクセスして、それに基づく行動を取る可能性があります。この脆弱性は、信頼できないコンテンツと意思決定権限を組み合わせることで生じます。
間接プロンプトインジェクションでは、こうした指示が外部の素材に隠されます。コンテンツは、ウェブページ、文書、メール、サポートチケット、コードコメント、カレンダーの予定、検索結果などに含まれる可能性があります。
人間の従業員は、隠された指示にまったく気付かないかもしれません。一方で、その素材を処理するエージェントは、指示を作業コンテキストに取り込み、ユーザーの依頼ではなくその指示に従う可能性があります。
Googleのセキュリティ研究者は、間接プロンプトインジェクションをエージェントにおける主要な攻撃上の懸念として特定しました。同社のウェブインジェクション研究では、AIの読者に影響を与えるよう設計されたパターンを含む公開ページを調査しています。
エージェントがメッセージ送信、非公開ファイルの取得、記録の更新、コード実行を行える場合、危険性は高まります。インジェクションに成功すると、正当に付与されたアクセス権が攻撃者に制御された操作へと変わり得ます。
これは、従来型のソフトウェアインジェクションの欠陥と同一ではありません。データベースは、厳格な構文とパラメータ化により、コマンドと値を分離できます。自然言語モデルは、曖昧な指示とコンテンツをまたいで動作します。
フィルターは既知の表現を検出できますが、攻撃者は指示を言い換えたり、複数の情報源に分散させたりできます。また、通常と異なるテキストを本質的に悪意あるものとして扱えば、正当なコンテンツまでブロックするリスクがあります。
より強力な防御となるのは、権限境界です。メール要約ツールには通常、シェルコマンドを実行する権限は必要ありません。コーディング支援ツールも、リポジトリ内のファイルに要求されたからといって、秘密情報を自動的にアップロードすべきではありません。
開発者は、エージェントのコンテキストに入る情報の出所も追跡する必要があります。公開ウェブから取得したコンテンツに、認証済みユーザーからの直接指示と同等の信頼を与えるべきではありません。
エージェントは、ほかにも新たな攻撃経路に直面します。ツールの説明が操作される可能性があり、メモリが敵対的な指示を保持する可能性もあります。また、侵害されたコネクターが誤解を招く結果を返す場合もあります。
攻撃者は、エージェントが意思決定に使うデータを汚染することもできます。目的は必ずしも即時のコード実行ではありません。レポートを改変する、アラートを抑制する、支払いワークフローの流れを変えるだけでも十分な場合があります。
OWASPの2026年レビューは、プロンプトインジェクションとサードパーティ製AI依存関係を、実務上のエンタープライズリスクとして説明しています。そのエージェント悪用レビューは、文書化されたインシデントを新たに浮上するセキュリティ分類と結び付けています。
それでも、セキュリティチームは、モデルの奇妙な応答をすべてサイバー攻撃の成功と見なすべきではありません。モデルは、曖昧なプロンプト、限られたコンテキスト、あるいは通常のソフトウェアバグによっても失敗することがあります。
信頼できるインシデントには、システムが何にアクセスしたのか、どの操作を試みたのか、そして攻撃者がその操作に影響を与えたのかに関する証拠が必要です。扇情的なデモでは、こうした要素の一つが省かれていることが少なくありません。
最も有用な問いは、モデルが何か警戒すべきことを言ったかどうかではありません。信頼できない入力が信頼境界を越え、重大な操作を引き起こしたかどうかです。
この基準は、組織にとって実行可能な標準となります。また、既存のサイバーセキュリティの基本原則を置き換えることなく、新たなAI脆弱性に重点的な注意が必要である理由も明らかにします。
AIによる脆弱性発見は、攻撃者と保守担当者の双方を助ける
AIが見落とされてきた欠陥を見つけられる能力は、防御も強化し得ます。ただし、保守担当者が検証済みの報告と実用的なパッチを受け取れることが前提です。
AI支援による脆弱性発見は、広大な探索空間で機能します。モデルはソースコードを調査し、プログラムの挙動を推論し、デバッガーやファザーなどのツールを選択できます。
ファザーは、異常な入力をソフトウェアに与え、クラッシュや予期しない挙動を引き起こします。従来のファジングは、多くの場合、人間が設計したテストハーネスと相当な計算時間に依存します。
モデルはクラッシュの解釈を助け、それを関連するコードまで追跡できます。また、以前の試行で得られた情報に基づき、新たなテストを提案することも可能です。
Anthropicは、管理された研究の中で、Claude Opus 4.6が広く使われているオープンソースソフトウェアの脆弱性を発見したと報告しました。同社は、保守担当者に幻覚によるバグ報告の負担をかけないよう、報告したすべての問題を検証したとしています。
同社のゼロデイ研究は、防御面での可能性と情報開示における課題を示しています。ゼロデイとは、発見または悪用された時点で、責任ある保守担当者がまだ把握していない脆弱性です。
こうした発見は、研究者が情報開示を調整し、保守担当者にパッチ適用の時間を与える場合に価値を持ちます。影響を受けるシステムのユーザーが更新できる前に、攻撃の詳細が攻撃者へ届けば危険になります。
AIは、両方のタイムラインを短縮します。保守担当者が報告をより速く理解する助けになる一方、攻撃者が公開パッチを分析し、元の弱点を再構築する助けにもなります。
パッチ差分解析と呼ばれるこのプロセスでは、ソフトウェアのバージョンを比較して修正されたコードを特定します。その後、エージェントは、古い公開済みバージョンに脆弱性が残っているかをテストできます。
したがって組織は、脆弱性の受け付けから修正までの距離を縮めなければなりません。攻撃者がパッチ分析を自動化できる場合、キューに未割り当てのまま置かれた報告はより危険になります。
答えは、すべてのセキュリティ更新を隠すことではありません。ユーザーには、影響範囲を評価し修正を適用するために十分な情報が必要です。研究者にも、問題を報告するための動機と安全な経路が必要です。
より現実的な改善策は、連携した自動化です。エージェントは隔離環境で発見事項を再現し、影響を受ける資産を特定し、パッチを提案し、テストを準備できます。その後、人間がより良い証拠に基づいて変更を承認できます。
保守担当者は、AI生成の報告すべてに同じ緊急性があるという前提を退けるべきです。報告には、再現可能な手順、影響を受けるバージョン、技術的影響、そしてその挙動がセキュリティ境界を越えることを示す証拠が必要です。
セキュリティチームには重複排除も必要です。複数のエージェントが、異なる表現で同じ根本原因を独立して報告する可能性があります。グループ化しなければ、自動化によって一つの欠陥が何十もの別々の緊急事態に見えてしまうことがあります。
この検証層こそ、防御側が主導権を取り戻せる場所です。攻撃者は一つの突破口を探しているため、ノイズを許容します。防御側は、構造化された証拠を用いて、大量の発見を優先順位付けされた修正へと変換できます。
利点は大手テクノロジー企業に限りません。小規模なチームも、AIを使って未知のコードを調査したり、テストを下書きしたりできます。ただし、安全な構成と有資格者によるレビューは依然として必要です。
組織は、インシデントやパッチに関する組織知も保持すべきです。検索可能なエンジニアリングナレッジベースは、新たな発見を過去の意思決定や影響を受けるシステムと結び付ける助けになります。
このつながりは運用上重要です。エージェントは修正を素早く提案できますが、チームはそのコードが存在する理由、依存する顧客、そして過去のどの変更が問題を引き起こしたかを依然として把握する必要があります。
したがって、AIによる脆弱性発見が自動的に攻撃側を有利にするわけではありません。自動化をアクセス、検証、そしてより速い実行と組み合わせた側に報いるのです。
次のサイバーセキュリティ試験が示すべきこと
次の段階は、検証済みのインシデント、エージェントの権限障害、そして防御側が同等の速度でパッチを適用できる能力によって測られることになります。
最初に注目すべき兆候は、AIが指揮した侵入に関する独立した文書化です。企業の脅威レポートは貴重な証拠を提供しますが、ベンダーには自社モデルの重要性を強調する動機もあります。
より強い裏付けには、共有された侵害指標、影響を受ける業界、攻撃のタイムライン、複数のインシデント対応チームによる調査結果が含まれます。機微な詳細は保護したままでも、調査担当者はAIの役割を確立できます。
独立した報告が、エージェントがより少ない人間による修正で長い攻撃チェーンを完遂したことを示せば、自動化に関する主張は強まります。証拠が引き続き絶え間ないオペレーターの介入を示すなら、自律性に関する主張は抑制する必要があります。
二つ目の兆候は、実運用されているエージェントにおける間接プロンプトインジェクションの扱いです。研究デモはすでに信頼できるメカニズムを示しています。未解決の問いは、通常のエンタープライズシステムでそれがどの程度頻繁に重大な操作を生むかです。
メールエージェント、コーディング支援ツール、ブラウザエージェント、接続された生産性ツールに関わるインシデントに注目してください。報告では、関与した権限と、システムが定義された信頼境界を越えたかどうかを説明すべきです。
検証済みの事例が増えれば、AIが明確に異なる運用上の攻撃対象領域を生み出したことが示されます。文書化された被害が存在しないことはリスクをなくしませんが、すでに広範な悪用が進行しているという主張は弱めます。
三つ目の兆候は、修正の速度です。AI支援による発見が最も重要になるのは、欠陥の発見と露出したシステムの保護との競争を変える場合です。
有用な証拠には、検証時間の短縮、より迅速なパッチ展開、未割り当ての脆弱性の減少が含まれます。保守担当者が処理できなければ、AIが発見したバグの生の件数から分かることはほとんどありません。
防御側は、完璧な指標を待たずに準備を始めるべきです。エージェントの権限を棚卸しし、信頼できる指示と取得したコンテンツを分離し、不可逆的な操作には承認を要求できます。
意思決定を再構築できる十分な詳細を伴って、ツール呼び出しを記録すべきです。ログには、入力元、要求された操作、利用可能な権限、実際の結果を記録する必要があります。
セキュリティテストには、通常のワークフロー内にある敵対的なコンテンツも含めなければなりません。モデルを直接的なジェイルブレイクプロンプトだけで評価しても、ファイル、ウェブサイト、メッセージに隠れた攻撃を見落とします。
組織はデータ移動に制限を設けるべきです。機密文書を読むエージェントは、両方の機能が個別には有用に見えるからといって、無制限の外部通信権限まで得るべきではありません。
従来の対策が今も防御の大半を担います。多要素認証、迅速なパッチ適用、ネットワークの分割、保護された認証情報、テスト済みの復旧計画は依然として不可欠です。
AIは、こうした実践を時代遅れにするものではありません。自動化された攻撃者は例外をより速く探せるため、それらを一貫して実装してこなかった組織を厳しく罰します。
したがって、Engadgetがサイバーセキュリティの議論を変えることは、機械がハッカーに取って代わることよりも、機械がハッキングの経済性を変えることに関わっています。発見から行動までの間隔が短くなり、より少ない中断で、より多くの試行がより早く行われる可能性があります。
防御上の機会も同じ論理に従います。セキュリティチームは、攻撃者が弱点を侵入へと変える前に、エージェントを使ってコードを調査し、報告を検証し、修正を準備できます。
決定的な問いは、組織が有効な検証を確立する前に、エージェントへ広範な権限を与えるかどうかです。読者は、各エージェントが何にアクセスできるか、何を変更できるか、そして誰がその操作をレビューするのかを問うべきです。
この検討は、インシデント報告書に最初の説明不能なツール呼び出しが現れた後ではなく、今行うべきです。AIはサイバーセキュリティを加速させていますが、境界のない速度は、最も大きなリスクを受け入れる側に利益をもたらします。
