「2日かかる攻撃が25分に」生成AIで“爆速化”するサイバー攻撃、パロアルトの識者が警鐘

　人の手なら2日かかる攻撃が、AIなら25分で──いわゆるフロンティアAI（最先端AI）の登場で大きく変わり始めているサイバー攻撃。パロアルトネットワークスの染谷征良氏（チーフサイバーセキュリティストラテジスト）が、ソフトバンクが7月14日に開催した年次イベント「SoftBank World 2026」の講演で、最新動向を解説した。

【画像】セキュリティインシデントによる事業影響の3つのトレンド

　染谷氏によれば、従来からあるセキュリティの構造的問題に、フロンティアAIによる“攻撃速度”の向上が追い打ちをかけているような構図という。果たして、企業が取り得る対策は。

●サイバー被害の特徴は「影響の広がり」

　染谷氏は、近年のサイバー被害の特徴が「影響の広がり」にあるとみる。ひとたび攻撃を受けると、受発注や生産活動、決算発表など組織内の幅広い業務が止まり、サプライチェーンを含む取引先にも影響が波及する。

　事業への影響は長期化しやすく、対応や復旧にかかる経済的コストも膨らむ。特にランサムウェアの被害では、システムが使えなくなりデータの破壊も伴うため、手作業での業務継続やシステムの一からの復旧を強いられ、影響は一層深刻になるという。

●なぜ被害はなくならないのか──3つの要因

　こうした被害がなくならない要因として、染谷氏は「人依存の限界」「アイデンティティの弱点」「対策の複雑化」の3つを挙げる。

　1つ目の人依存の限界を象徴するのが、なりすましメールだ。かつては日本語に存在しない文字や文法の誤りが見分ける手掛かりになったが、生成AIが作る文面からそうした要素が消えつつある。標的型メール訓練のように、従業員の判断力に頼る対策は成立しにくくなっているとした。

　人依存の限界はメールだけの話ではない。実際のインシデントでは、攻撃者が管理の盲点になっていたネットワーク機器の脆弱性や管理者アカウントを突くケースも多く、人の手による管理そのものが追い付かなくなっているという。

　2つ目はアイデンティティ（ID・認証情報）の弱点だ。パロアルトネットワークスのインシデント対応部隊「Unit 42」は世界で年間1000件以上の事案を支援しているが、その約9割で攻撃者がアイデンティティを標的にしているという。簡易なパスワードの使用や多要素認証の未導入など、権限管理の隙を突くケースが目立つ。

　3つ目が対策の複雑化。領域ごとに別々のベンダーからツールを個別に調達する「ベスト・オブ・ブリード」型のアプローチが主流だった結果、対策だけでなく運用・監視までもがサイロ化──それぞれのツールや担当が分断され、情報が横につながらない状態に陥っている。

　実際、サイロ化の代償は検知の遅れとして表れる。パロアルトネットワークスが対応したインシデントを分析すると、87％のケースでは攻撃の兆候がログに残っていたにもかかわらず、リアルタイムで検知できていなかったという。単体の挙動だけでは正規ユーザーの操作か攻撃者の活動か判別が難しいため、染谷氏は「点ではなく線で見る」監視の重要性を指摘した。

●攻撃コード作成は15分、一連の攻撃は「2日→25分」

　これらの課題にフロンティアAIが追い打ちをかける。染谷氏によれば、AIは人間が見つけられなかった脆弱性を高速で発見できるうえ、その脆弱性を悪用する攻撃コードの作成も15分程度で可能になっているという。さらにAIはアプリケーション全体の構造を理解できるため、単体では深刻度の低い脆弱性を組み合わせ、より深刻な攻撃に仕立てることもできる。

　攻撃全体のスピードも桁違いに上がる。従来、サイバー犯罪者がネットワークに侵入してから情報を盗み取るまでの時間は、早いケースでも平均72分程度だった。これに対し、パロアルトネットワークスのエンジニアがラボ環境で行った実証実験では、人が手作業で行えば2日ほどかかる一連の攻撃工程が、生成AIを活用した場合は25分に縮んだ。染谷氏は「今後さらに速くなるのは時間の問題」との見方を示している。

　さらに、自律的な攻撃も現実のものになりつつある。英政府がAIの安全性評価のために設立した機関「AIセキュリティ・インスティテュート」は、各社のフロンティアAIモデルを使ったサイバー攻撃のテストを実施しており、AIが人の介在なしに攻撃を完遂できたケースも確認されているという。

　染谷氏は、フロンティアAIの脅威というと、未知の脆弱性を高速で発見するなど発見・探索の能力に注目が集まりがちだが、それにとどまらないとして、攻撃の精度・スピード・自律性が同時に高まっている点に警鐘を鳴らした。

●求められるのは「新しい対策」ではなくスピード

　では、企業は新しい対策を迫られるのか──染谷氏は「そういうわけではない」と説明する。変わるのは、従来から求められてきた対策の重みとスピード感だ。脆弱性管理ツールで検出した問題の放置や、大量のアラートへの対応の遅れといった課題は以前からあったが、機械のスピードで攻撃するAIの前では、こうした遅れが致命傷になり得る。

　各国の公的機関も同様の見解を示しているという。英NCSC（国家サイバーセキュリティセンター）などが出すガイダンスでは、脆弱性対応にとどまらず、現在の対応能力の全体評価と課題の洗い出し、増加が見込まれる修正パッチへの対応体制の整備、経営層によるセキュリティのけん引を共通して挙げているとした。

　その上で染谷氏は、リスク評価をAIに担わせて人は最終判断に絞るなど、防御側もAIと自動化を徹底活用し、マシンスピードの攻撃にリアルタイムで対抗していく必要があると説いた。