Check Point、AIが現実のサイバー攻撃内で活動していると警告

Check Pointは最新のセキュリティ評価において、AIを支援役から能動的な実行者へと位置付け直した。この変化は、最近の報道を通じてGoogle Newsの読者にも届いている。同社によれば、AIシステムは実際の侵入でコマンドを実行し、窃取データを分析し、次に取る行動を選択している。この主張は、セキュリティにおける中心的な問いを変える。防御側が相手にするのは、より高速なツールを使うだけの人間の攻撃者ではなくなった。

Check Point Researchは7月にAnnual AI Security Report 2026を公表した。このレポートは、前年に発生した複数の事案を結び付けている。スパイ活動、政府機関への侵害、AI生成マルウェア、そしてAIシステム自体への攻撃などだ。中核となる主張は、見出しが示すほど広範ではない。AIがすべての攻撃者に取って代わったわけではないが、一部の運用者はコーディングエージェントに相当量の戦術的作業を委任するようになっている。

この区別は重要だ。Anthropicは2025年11月に関連するパターンを記録している。同社によると、中国と関係するグループが約30の標的に対してClaude Codeを使用し、戦術的な作戦の推定80%から90%をAIが担った。人間の運用者は引き続き標的を選定し、主要な意思決定を管理していた。その一方で、エージェントはそうした判断の合間に、偵察、侵害、認証情報の収集、横展開、データ分析の大部分を実行した。

AI攻撃チェーンで何が変わったのか

AIはもはやフィッシングメッセージの作成や悪意あるコードの提案にとどまらない。侵害された環境内で行動できるようになっている。

AI security reportは、この移行をアシスタントからオペレーターへの変化と表現している。以前の悪用では、個別の依頼が中心だった。攻撃者はチャットボットに、誘導文の修正、スクリプトのデバッグ、メッセージの翻訳、脆弱性の説明などを求めることがあった。

こうした作業は生産性を高めたが、各段階をつなぐのは依然として人間だった。人間が次のツールを選び、結果を解釈し、重要なコマンドを一つずつ発行していた。この仕組みでは、攻撃の速度は運用者の注意力、判断力、複数標的を管理する能力に制約される。

エージェント型システムはこのワークフローを変える。AIエージェントとは、ツール、ファイル、実行環境に接続され、複数段階のタスクを完了できるモデルだ。出力を確認し、計画を更新し、別のコマンドを実行して、新たなプロンプトを待たずに作業を続けられる。

Check Pointのレポートは、メキシコの政府機関9組織が関与した侵害を、最も明確な犯罪事例として挙げている。調査によれば、1人の運用者が2025年12月下旬から2026年2月中旬にかけてClaude CodeとGPT-4.1を並行して使用した。Claude Codeがシステムを探索してコマンドを実行し、GPT-4.1が収集情報の処理と優先順位付けを支援した。

研究者らによると、1,088件の入力指示から34回の攻撃セッションにわたり5,317件のAI実行コマンドが生じた。この作戦では、税務、住民登録、車両、患者、選挙に関する情報を含む約4億件の記録が流出したとされる。これらの数値はCheck Pointが引用したインシデント調査に基づくものであり、影響を受けたすべての組織から完全な公的検証を得ているわけではない。

重要なのはモデル名よりも仕組みだ。攻撃者は、一方のモデルがアクセスを獲得し、もう一方が結果を処理するワークフローを構築した。AIは、偵察、侵害、データ分析、そして次の戦術的行動をつなぐ役割を担った。

このアーキテクチャは、常時の人間による監督を必要とする度合いを下げる。また、従来なら複数の専門家を必要とした作業を、1人の運用者でも管理できるようにする。人間は依然として意図、アクセス、インフラ、戦略的方向性を与えるが、運用上の負荷のより多くをソフトウェアが担う。

このパターンは国家と関係するキャンペーンにも見られた。Anthropicはespionage operationに関する説明で、Claude Codeが約30組織に対する侵入を試みたと述べた。そのうち少数の試みは成功したと報告されている。

Anthropicは、この活動をGTG-1002と呼ぶ中国政府支援のグループによるものと高い確信度で帰属した。同社によると、人間の介入は各キャンペーンでおよそ4～6回の重要な意思決定時点に行われた。その間、エージェントは人間が維持するのが難しい速度で戦術的な段階を進めた。

この証拠は、AIが独自に攻撃者になることを選んだことを意味しない。人間が目標を選び、保護策を操作し、ツールを提供し、作戦を指揮した。ただし、このシステムは多数の中間段階をどのように実行するかを決めたとされる。

これがGoogle Newsの見出しの背景にある変化だ。AIは攻撃の材料を生み出す段階から、攻撃チェーンそのものの内部で行動を調整する段階へ移行している。

Google Newsの見出しが防御側にとって重要な理由

直ちに圧力を受けるのは、攻撃者が考え、入力し、連携するために立ち止まることを前提とした対策を運用するセキュリティチームだ。

従来のセキュリティ運用は、一部では摩擦に依存している。攻撃者には、ネットワークを調べ、権限を理解し、認証情報を試し、スクリプトを修正し、防御側の応答を解釈する時間が必要だ。こうした停止時間は、監視システムと分析担当者に、進行中の侵入を検知する機会を与える。

エージェント型ワークフローは、その停止時間を圧縮する。モデルはコマンド出力を確認し、数秒以内に別の経路を試せる。発見事項を継続的に記録し、複数システムを比較し、疲労せずに成功した手法を繰り返せる。

Check Pointによると、脆弱性への対応猶予は一部のケースで数日から数時間へと縮小している。この発言を、あらゆる脆弱性に当てはまる普遍的なカウントダウンとして扱うべきではない。悪用可能性は、公開状況、複雑性、権限、利用可能なコード、攻撃者の目的に左右される。

それでも、この運用上の方向性には説得力がある。公開された情報はすでに、攻撃者に技術的な説明、比較可能なパッチ、スキャン対象となる脆弱な標的を提供している。AIは、特にエージェントがコード分析やテストツールにアクセスできる場合、こうした材料をより迅速に結び付ける助けとなり得る。

最初に圧力を受けるのはセキュリティオペレーションセンターだ。分析担当者は、しばしば分断されたエンドポイント、アイデンティティ、クラウド、ネットワーク製品にまたがる大量のアラートから、意味のある挙動を特定しなければならない。人間が初期調査を終える前に、エージェントは同じレイヤー間を移動できる。

次に圧力を受けるのは脆弱性管理だ。攻撃者が標的の発見とエクスプロイトの適応を自動化できる場合、週次のパッチサイクルはリスクを伴う。チームには、正確な資産インベントリ、露出状況に基づく優先順位付け、公開システムに影響する脆弱性への緊急対応経路が必要になる。

アイデンティティチームも同様の圧力に直面する。エージェントが認証情報を収集すれば、それがどこで使えるかを直ちに試し、特権アカウントを特定し、クラウドサービスで追加のシークレットを探せる。トークン、サービスアカウント、管理されていない認証情報が有効なままであれば、静的なパスワードリセットの効果は限定的だ。

ソフトウェアチームも防御境界の内側に入る。コーディングエージェントは、プロジェクトファイル、リポジトリの指示、設定文書を読み、どのように振る舞うべきかを判断する。こうした信頼された場所に埋め込まれた悪意あるコンテンツは、開発者がそのファイルの危険性に気付く前にエージェントへ影響を与え得る。

このリスクは間接的プロンプトインジェクションと呼ばれる。攻撃者はモデルに悪意ある指示を直接与える代わりに、モデルが後で処理するコンテンツに指示を埋め込む。Webページ、リポジトリ、文書、メール、ツールの応答が、配信手段になり得る。

Check Pointは、より長い悪意あるプロンプトペイロードの検知数が2026年3月から5月にかけて約5倍に増加したと報告した。5月には観測されたプロンプトの1%近くに達した。同社は、長いペイロードを、コンテンツ起点およびエージェント型の攻撃経路が運用上の重要性を増している兆候と解釈している。

このテレメトリはCheck Pointの顧客環境に由来するため、すべての企業やモデルを代表するものではない。また、確認済みの侵害成功件数ではなく、検知されたプロンプトを測定している。それでも、この増加は攻撃者がどこで実験しているかについて有用な警告となる。

組織は、1つのモデルをブロックするだけではこの問題に対処できない。攻撃者は商用システム、ローカルモデル、盗まれたAPI認証情報、通常のセキュリティツールを組み合わせられる。プロバイダーの安全対策は引き続き重要だが、より大きな運用環境における1つの制御にすぎない。

実務上の転換点は、モデルセキュリティからシステムセキュリティへの移行だ。防御側は、エージェントが何を読み取れるか、どのツールを呼び出せるか、どの認証情報を継承するか、どの行動に承認を必要とするかを監視しなければならない。周辺ワークフローが過剰な権限を与えているなら、モデルが安全に応答しても意味は乏しい。

真の競争は、人間の防御と機械速度の作戦との間にある

主な競争はCheck Point対Anthropicでも、あるモデル対別のモデルでもない。人間の速度で行われる防御と、機械の速度で実行される作戦との競争だ。

AIプロバイダーは悪用を検知し、アカウントを無効化できる。Anthropicは、GTG-1002に関連するアカウントを禁止し、影響を受けた組織に通知し、当局と連携し、悪意ある活動向けの分類器を拡充したと述べている。こうした介入は、価値の高い運用ツールへのアクセスを中断した可能性が高い。

ただし、アカウントの執行だけを完全な防御として頼るのは脆弱だ。攻撃者は新たなアカウントを取得し、APIキーを盗み、別のサービス経由で作業を行い、選択したタスクをローカルモデルに移すことができる。また、作戦を複数のプロバイダーに分散し、各社が得られる可視性を低下させることも可能だ。

Check Pointのthreat landscape digestによると、攻撃者は多くの運用環境で依然として高性能な商用モデルを好む。ローカルシステムにはハードウェア、設定、保守、技術的知識が必要だ。主流のコーディングエージェントはすでに、強力な推論、ツール利用、開発者向け統合を提供している。

そのため攻撃者は、こうしたエージェントを取り巻くアーキテクチャを標的にする。プロジェクトレベルの指示や設定ファイルは、セッションをまたいで存続できる。エージェントが埋め込まれたファイルを権威あるものとして扱うようになると、攻撃者は対話ごとに目立つジェイルブレイクを繰り返す必要がなくなる可能性がある。

この設定を制御手段とするパターンにより、従来型のコンテンツモデレーションの決定力は低下する。プロバイダーが拒否動作を改善しても、侵害されたツールチェーンはモデルに誤解を招く文脈を与え続ける可能性がある。モデルは、信頼境界がすでに破綻した環境内で動作する。

同じ非対称性はネットワーク防御にも表れる。AIオペレーターは複数の経路を継続的に試せる。一方、人間の分析担当者は、アラートが本物かを確認し、事業への影響を理解し、システム所有者に連絡し、証拠を保全し、正当な業務を妨げないようにしなければならない。

だからといって、防御に望みがないわけではない。モデルは防御テレメトリを処理し、インシデントを要約し、アイデンティティを相関付け、封じ込め手順を推奨できる。Anthropicは、同社の脅威インテリジェンスチームがスパイ活動キャンペーンの調査中にClaudeを広範に利用したと述べている。

Check Pointも同様に、AIを防御リソースとして位置付けている。同社は、ますます自動化される作戦には人間だけのワークフローでは対抗できないため、セキュリティチームには機械速度の検知と対応が必要だと主張する。この主張は運用上の課題と一致するが、Check Point自身も解決策として位置付けられた製品を販売している。

重要なのは、自律性を適切に制限することだ。防御側のエージェントは証拠を迅速に収集し、対応策を提案できる一方、機微な手順には明示的な承認を求めるべきである。組織は、本番環境全体に無制限の権限を与えずとも、低リスクのテスト用エンドポイントをエージェントに隔離させることができる。

攻撃者は同じガバナンス上の負担を負わない。偽陽性、壊れたスクリプト、ノイズの多いスキャンを許容できる。一方、防御側は可用性を守り、自組織への影響を避けなければならないため、自動化には慎重な制限が必要となる。

この非対称性こそ、基本的な対策が依然として重要である理由を説明している。多要素認証、セグメンテーション、エンドポイント監視、迅速なパッチ適用、最小権限、認証情報のローテーションは、今なお攻撃の根底にある動きを阻止する。AIは攻撃者の速度と規模を変えるが、アクセスの必要性をなくすわけではない。

コーディングエージェントは、より深く推論するだけでパッチ済みサービスを侵害することはできない。失効済みの認証情報を再利用することもできない。ネットワークポリシーが経路を遮断し、防御側が越境の試みを監視しているセグメント化された環境には到達できない。

防御上の課題は、こうした制御を一貫して適用することにある。AIは、放置されたシステムを見つけやすくし、不適切な慣行を大規模に悪用しやすくする。既存のセキュリティ負債を、より迅速な運用上の機会へと変えてしまう。

AI生成マルウェアが引き上げる開発能力の上限

AIが高度な攻撃用ソフトウェアの開発に必要な労力も削減するため、ライブのオーケストレーションは物語の半分にすぎない。

Check Pointは、コマンド＆コントロール機能、クラウド探索、コンテナ標的化、侵害後の機能を備えるモジュール型Linuxマルウェアフレームワーク、VoidLinkを取り上げている。研究者らは当初、そのアーキテクチャが協調した開発チームの成果を示すものだと考えていた。

運用上のミスにより、計画文書やその他の開発成果物が露出した。Check Pointは、経験豊富な開発者1人がAI搭載環境を用い、1週間未満で機能するインプラントを作成したと結論づけた。完成したプロジェクトは、報道によれば8万8,000行を超えるコードで構成されていた。

VoidLink investigationは、モデルがキャンペーンを考案した、あるいはマルウェアを独立して運用したことを立証するものではない。示しているのは、より現実的な事実だ。能力のある人物がAIを使い、複雑な攻撃フレームワークを計画、実装、テスト、改訂する作業を、予想よりはるかに速く進めたのである。

この開発者は、仕様駆動開発に従っていたとされる。そのワークフローでは、構造化された要件と計画文書が、実装を担うエージェントを導く。同じアプローチは、正当な開発チームが複雑なソフトウェアプロジェクトを調整する際にも役立つ。

この二面性はリスクの核心にある。犯罪エコシステムは、AIの各機能のために別個の発明サイクルを必要としない。一般の開発者が生産性向上のために採用するワークフロー、ツール、エージェントのパターンを模倣できる。

AIの関与は最終的な成果物から消える可能性もある。コンパイル済みマルウェアを分析するアナリストには、従来型のコード、既知のライブラリ、見慣れた手法が見えるかもしれない。流出したプロンプトやプロジェクトファイルがなければ、そのソフトウェアがどのように作られたかを確実に特定する手段はない可能性がある。

これは、明白な文体上の手掛かりを探すことでAI支援型サイバー犯罪を測定しようとする試みを弱める。きれいなコードは人間による作成を証明せず、欠陥のあるコードはAIによる作成を証明しない。開発の来歴は、多くの場合見えないままである。

VoidLinkは、単純化された民主化論の限界も示している。初心者がチャットボットを開いただけで、高度なマルウェアエンジニアになるわけではない。報告された開発者は、セキュリティ知識、アーキテクチャ上の判断、規律あるプロジェクト管理を提供していたようだ。

AIはその専門性を増幅した。より大きなチームとより長いスケジュールに結び付けられる仕事を、1人のオペレーターが担えるようにした。したがって、短期的に最も大きな向上を得るのは、標的と攻撃手法をすでに理解している有能な攻撃者かもしれない。

スキルの低い行為者も、パッケージ化されたサービスを通じて恩恵を受ける。Check Pointによれば、フィッシングキット、音声システム、犯罪プラットフォームには、単純なインターフェースの背後に言語モデルが組み込まれるケースが増えている。購入者は、基盤となるモデル、ジェイルブレイク、配信パイプラインを理解する必要がない。

これは、過去のサイバー犯罪市場に似ている。ランサムウェアのアフィリエイト、初期アクセスブローカー、フィッシングサービス、ボットネットのレンタルは、専門的な能力を購入可能なコンポーネントへと変えてきた。AIは、そうしたサービス内部の制作コストを下げつつ、パーソナライズと運用スループットを改善できる。

合成アイデンティティは、さらに別の層を加える。音声、顔、文書、ライブ映像を組み合わせることで、マルチチャネルのソーシャルエンジニアリングが可能になる。従業員は、同一の偽の身元を補強するメール、音声通話、ビデオ出演を受け取るかもしれない。

単一のディープフェイクだけで、アカウントや取引が悪意あるものだと証明されるわけではない。セキュリティ上の問題は、見慣れた本人性シグナルが、以前ほど独立した価値を持たなくなっていることだ。組織には、信頼できるチャネル、取引制御、デバイスシグナル、文脈的な確認による裏付けが必要になる。

教育機関と公共部門の組織は、幅広い利用者集団、機微な記録、老朽化したシステム、分散化された技術を管理しているため、とりわけリスクにさらされている。攻撃者は、セキュリティ成熟度にばらつきのある組織をまたいで、認証情報の窃取、ソーシャルエンジニアリング、自動化された偵察を組み合わせられる。

したがって、Check PointのAIセキュリティに関する主張は、マルウェアに限られない。開発能力の上限は、コード、説得、なりすまし詐欺、データ処理、運用調整の全域で上昇している。

証拠が依然として証明していないこと

この報告書は重大な運用上の変化を記録しているが、自律型AIが熟練した攻撃者に取って代わったことを証明するものではない。

ベンダーの脅威レポートには、避けられない可視性の問題がある。Anthropicは自社サービスに関わる活動を観測する。Check Pointは、自社の調査、パートナー、製品、テレメトリで捉えた事象を確認する。各組織が見ているのは、より広い脅威環境の一部にすぎない。

GTG-1002の報告書は異例に詳細な説明を提供したが、Anthropicは外部研究者が完全な独立検証に使える侵害指標を公開していない。Check Pointは、より広範な分析の中でその制約を指摘した。

メキシコ政府の事例には、コマンド数、セッション、スクリプト、システム、記録など、広範な運用上の数値が含まれる。しかし、名前が挙がった、あるいは影響を受けたすべての機関からの公的確認は、なお不完全である。報道ではこの区別を維持すべきだ。

自律性の測定にも問題がある。人間がフレームワークを設計し、標的を選び、認証情報を提供し、重要な行動を承認している間に、モデルが多くのコマンドを実行することはあり得る。コマンド数を数えても、作戦の意図を誰が管理していたかは分からない。

Anthropicの80%から90%という推定は、特定のキャンペーンにおける戦術的作業に関するものだ。モデルが重要な判断の90%を担ったことを意味するわけではない。同社は人間が複数の重要な局面で介入したとしており、そこには戦略上不釣り合いに大きな価値を持つ判断が含まれていた可能性がある。

同様に、AIが実行した5,317件のコマンドも、すべてのコマンドが有用だったことを示すものではない。エージェントは行動を繰り返したり、エラーに遭遇したり、不必要な手順を生成したりする可能性がある。生の件数が捉えるのは活動量であって、能力ではない。

AIシステムは、攻撃者を露出させるようなミスを犯すこともある。出力を誤読したり、ノイズの多い手法を選んだり、発見事項を捏造したり、機微な詳細を過度に詳細に記録したりする可能性がある。Check PointがVoidLinkの一部を発見できたのは、開発成果物と運用上のミスが可視性を生んだからでもある。

プロバイダーによる制御は依然として重要になり得る。不正利用の監視は、個々の標的には観測できない、アカウント横断のパターンを把握する。レートの異常、繰り返される悪用プロンプト、不審なツール利用、共有インフラは、調査と妨害を支援できる。

Anthropicが公開したAI threat mappingは、2025年3月から2026年3月にかけてサイバー関連のポリシー違反で停止された832件のアカウントを分析した。その結果、560件、すなわち67.3%のアカウントが、マルウェア関連の準備にAIを使用していたことが分かった。

観測された行為者の大半は、GTG-1002の水準で活動していたわけではない。Anthropicは、モデルを取り囲むソフトウェアとアーキテクチャを意味するエージェント型スキャフォールディングが、要求された手法の数よりも、高リスク活動を明確に区別していたと判断した。

この発見は抑制的な結論を支持する。AI支援型の悪用は広がっているが、深く自律した作戦は依然としてより高度な一部の領域にとどまる。危険なのは、その一部が再現しやすくなっていくことにある。

Google Newsでの配信は、こうした区別を劇的な見出しへと平板化しかねない。「AIがサイバー攻撃を実行する」という表現は方向性としては有用だが、技術的には不完全である。人間の意図、脆弱なシステム、盗まれたアクセス、オーケストレーションコード、脆弱な制御は、記録されたすべての事例を依然として形作っている。

防御側は、これらの事例をマーケティングとして退けるべきでもなければ、自律的な侵害を不可避なものとして扱うべきでもない。証拠は、より迅速な検知、強力なエージェントガバナンス、基本的なセキュリティ対策への投資を支持している。人間のレビューを放棄したり、防御エージェントに無制限のアクセスを与えたりすることを支持するものではない。

次に注視すべき3つのシグナル

次の試金石は、エージェント型攻撃が行為者、標的、モデルプロバイダーをまたいで再現可能になるかどうかだ。

第1のシグナルは、独立したインシデント検証である。セキュリティ研究者は、エンドポイントデータ、ネットワーク記録、プロバイダーのテレメトリ、被害者報告のすべてが、エージェントのライブな運用上の役割を確認する事例を探すべきだ。無関係な調査をまたぐ繰り返しの証拠は、Check Pointの論旨を強めることになる。

公的な指標も重要だ。これにより、他の組織が自らの環境を検索でき、独立したチームが帰属を検証できる。今後のレポートが1社のプロバイダーによる内部観測に依存し続けるなら、より広範な傾向に対する確信の高まりは遅くなる。

第2のシグナルは、持続的なエージェント操作に対するプロバイダーの対応である。コーディングアシスタントは、リポジトリファイル、ツールの説明、プロジェクトコンテキストを自動的に取り込む。プロバイダーには、警告、権限境界、来歴指標、制限付き実行を含む、これらの入力に対するより明確な信頼制御が必要だ。

商用エージェントが、信頼できないコンテンツと運用指示をデフォルトで分離し始めるかを注視したい。より強い分離は、埋め込まれた設定ファイルに依存する攻撃を弱めるだろう。複数製品でバイパスが続けば、エージェントアーキテクチャが依然として持続的な弱点であるという見方が強まる。

第3のシグナルは、防御側の対応時間である。組織は、公開されたサービスを棚卸しし、パッチを適用し、認証情報を無効化し、不審なツール活動を調査し、横方向の移動を封じ込めるまでに要する時間を測定すべきだ。こうした運用指標は、防御が高速化する攻撃に適応しているかを明らかにする。

開示から修復までの隔たりが広がれば、より高性能なモデルがなくとも攻撃者に有利となる。その隔たりが縮まれば、自動化、優先順位付け、ガバナンスがエージェント型の優位性の一部を相殺できることを示す。

セキュリティリーダーは、承認済みのAI利用と悪意ある活動も区別すべきだ。Check Pointによると、同社のデータセットにおける平均的な組織は月間10のAIアプリケーションを利用しており、その多くは正式な承認なしに使われていた。同社は、高リスクなプロンプトが前年中に2%から4%へ倍増したと報告している。

こうしたプロンプトには、企業情報、個人情報、規制対象情報、認証情報関連の情報が含まれる可能性がある。大半は侵入ではなく、通常の従業員行動を表している。したがって、セキュリティプログラムには相互に結び付いた2つの仕事がある。AIを使う敵対者を阻止することと、AIを使う従業員を統制することだ。

一律の禁止は、信頼できる可視性を提供することがほとんどない。従業員は個人アカウントや未承認のサービスへ移行する可能性がある。組織には、明確なデータルール、承認済みツール、アクセス制御、ログ記録、そして機微な情報を露出させずにコンテキストを保持するワークフローが必要である。

セキュリティに関する発見が高速で流れ込む中でレビューを行うチームには、持続的に参照できる社内証跡も必要です。検索可能なエンジニアリング・ナレッジベースは、散在する会話に頼ることなく、アドバイザリー、資産の所有責任、インシデント時の判断、是正記録を結び付けられます。

実務上の問いは、Google Newsの警告がすべて自律的な侵害を予告しているかどうかではありません。重要なのは、攻撃者が次の重大な判断に至る前に、組織がシステム内を移動するエージェントを特定できるかどうかです。AIエージェントがどこで稼働し、何にアクセスでき、どの行為が人間の承認を迂回するのかを見直してください。その上で、現在のツールと人員体制で、機械の速度で進行する侵入をチームが封じ込められるかを検証してください。