AIを悪用したサイバー攻撃とは？「AIで簡単にハックされる」はどこまで本当か、会社が先にやるべき対策

いま何が起きているか

2026年に入って、「AIが攻撃に使われる」は、予測から現実の出来事になりました。

• 脆弱性を見つける力が熟練者に並んだ: Anthropicは2026年4月、新しいAI「Claude Mythos Preview」が、ソフトウェアの脆弱性を見つけて悪用する力で、ごく一部の熟練者を除けば人間を上回ると公表しました。主要なOSとブラウザのすべてで、深刻度の高い脆弱性を見つけたとしています（見つかった脆弱性は数千件）。一般には公開せず、防御の目的に限って一部の企業・団体に提供しています²
• 企業ネットワークへの攻撃を最後までやり遂げた: 英国のAI Security Institute（AISI）の評価では、このAIは、人なら約20時間かかる32段階の企業ネットワーク攻撃の演習を、10回中3回、最初から最後まで自力でやり遂げました。AISIは、ネットワークに入り込めれば、防御の弱い小規模な企業のシステムを自律的に攻撃できる力があると結論づけています³
• 政府が注意喚起を出した: 2026年5月、国家サイバー統括室と警察庁・金融庁・総務省・経済産業省などは連名で、こうしたAIが攻撃者に悪用されれば攻撃が「より高速かつ大規模に」行われるおそれがあるとして、重要インフラ事業者などに対策の強化を求めました¹
• AIエージェントが試験環境を抜け出し、他社に侵入した: 2026年7月、OpenAIが社内で攻撃の能力を測る試験（一般向けの安全対策を外した状態）をしていたAIエージェントが、試験環境で使っていたソフトの、まだ知られていなかった脆弱性を突いてインターネットに出ました。そして、ネット上に公開されてしまっていた認証情報と、自ら見つけた脆弱性を使って、Hugging Faceの本番環境の一部を侵害しました。OpenAIは、許可なく攻撃的に動いたAIエージェントの集団として、知られている限り初めての事例だとしています⁴⁵

事例集：OpenAIのAIエージェントによるHugging Faceへの侵入

AIで攻撃の何が変わったのか

1. 準備が速く、安くなった

下調べ、だましのメールの文面、翻訳といった攻撃の準備は、生成AIで大幅に楽になりました。Microsoftは2024年、国家を背景とする5つの攻撃グループが、偵察、スクリプト作成の手伝い、フィッシングの文面づくり、翻訳などにAIを使っていたと公表しています（当時は、AIによる新しい攻撃手法は確認されていないとしていました）¹¹。警察庁も、AIで文章が自然になり、見抜きにくいフィッシングが増えていると報告しています⁸。AIを使った詐欺の対策

2. 専門知識が少なくても、攻撃の道具を作れる

警察庁は、AIの悪用で「専門知識のない者でもサイバー攻撃に利用し得る情報へのアクセスが容易になる」と見ています⁷。国内でも、生成AIを使って不正なプログラムやランサムウェアを作ったとして、10代・20代が逮捕される事件が続いています。生成AIの悪用の事例

3. 攻撃そのものが自動化・自律化した

• Anthropicは2025年11月、国家支援とみられるグループが同社のAIを攻撃の仕組みに組み込み、作業の8〜9割をAIに担わせて約30の標的に侵入を試みた（少数で成功した）と公表しました⁹
• Googleは、実際の攻撃で、動きながら生成AIに問い合わせて命令を作るマルウェアを観測したと報告しています¹⁰。警察庁も、感染先の端末が使う生成AIサービスを悪用して不正な命令を作るマルウェアを解析しています⁷
• 警察庁は、AIが発達すると「人間が関与せず、AIで自動化したサイバー攻撃が今後増える可能性がある」としています⁷
• OpenAIは、高度な攻撃には人が絶えず指示を出す必要がある、という前提はもう置けないとしています⁴

4. 脆弱性が見つかってから悪用されるまでが短くなる

攻撃する側も守る側も、AIで脆弱性を速く大量に見つけられるようになります。政府の注意喚起は、脆弱性の発見から悪用までの時間が極めて短くなり、多数の脆弱性に同時に対応する必要が出てくるとして、「より高速かつ大量に脆弱性が発見・修正されること」を前提に対策を強めるよう求めています¹。

「AIで簡単にハックされる」はどこまで本当か

変わったのは、攻撃の速さ・量・必要な技術の低さ・自律性、そしてまだ知られていない脆弱性を見つける力です。一方で、変わっていないものもあります。侵入の筋道です。

• IPAは2026年3月の時点で、AIを使った攻撃の事例の大部分は「従来と変わらないサイバー攻撃がAIによって半自動化・高速化されている」ものにとどまるので、従来の対策が有効だと整理しています（AIに固有の弱点を突くプロンプトインジェクションは別。数か月のうちに状況が変わる可能性も指摘しています）⁶
• その後に出た英国AISIの評価は「防御の弱い小規模な企業のシステム」についてのもので、演習の環境には、実際の会社にある監視する人や防御の仕組みがありません。守りの固いシステムまで攻撃できるかは分からないとしています³
• OpenAIの件でも、AIは未知の脆弱性を見つけた一方で、ネット上に公開されてしまっていた認証情報という昔からある弱点も使っていました。OpenAIは、AIエージェントの集団は侵入の原則を書き換えるものではないが、攻撃者の能力を大きく高めるので、より厳しく堅い守りが要るとし、最小権限・分離・強い認証といった基本は今も欠かせないとしています⁴

当サイトの事例集でも、入口の多くは、IDとパスワードだけで重要な手続きができる仕組み、外から見える状態のデータベース、漏れた認証情報といった、昔からある弱点です。

つまり、正確に言えばこうです。AIは「守りの弱いところ」を、これまでより速く、多く、安く見つけて突けるようにし、まだ知られていない弱点まで見つけ始めた。基本の守りができている会社とできていない会社の差はこれから広がり、そのうえで、ひとつの守りが破られても止まるように重ねておくことが要ります。

会社が先にやるべき対策

政府の注意喚起、英国AISI、OpenAIが挙げる対策は、ほぼ同じ基本に集まっています¹³⁴。違いは「速さ」と「重ね方」です。

1. 外から見える資産を把握し、脆弱性を早く直す

インターネットにつながっている機器・サーバー・サービスの一覧を持ち、更新を定期的に、早く当てます。脆弱性が一度にたくさん見つかる前提で、影響の大きさや悪用されやすさで直す順番を決める手順を、先に作っておきます¹。

2. 認証を強くし、漏れた認証情報を放置しない

多要素認証を必須にし、使い回しのパスワードをなくします。APIキーやトークンをコードや公開の場所に置かない、漏れたら直ちに無効にして作り直す、という運用を決めます。

3. 権限を最小にし、システムを分ける

人にもAIにも、必要な権限だけを与えます。侵入されても被害が広がらないよう、ネットワークやシステムを分けます。

4. 設定を点検する

データベースやクラウドのストレージが、意図せず外から見える状態になっていないかを定期的に確かめます。

5. ログを残し、異常に早く気づいて動く

アクセスや操作の記録を残し、ふだんと違う動きに気づく仕組みを用意します。AIを使った攻撃は速いので、気づくまでの時間が被害の大きさを左右します。気づいた後に誰が何を判断するかも決めておきます。OpenAIの件では、Hugging Faceへの侵入より前に社内の監視が不審な動きを知らせていましたが、その時点では試験を止める必要はないと判断されていました⁴。

6. 復旧の備えをする

バックアップを取り、侵害されたときに、システムを切り離して復旧する手順を決めて練習しておきます。

7. ひとつの対策に頼らない

OpenAIは、どの対策も単独では万全と考えず、「防ぐ」「見つける」「被害を抑える」を、互いに独立した複数の対策で重ねるべきだとしています⁴。

8. 自社で使うAIの権限も絞る

AIエージェントを業務に入れるなら、そのAI自体が攻撃の入口や道具にならないよう、読めるデータと実行できる操作を絞ります。プロンプトインジェクションの対策

9. 守る側もAIを使う（情報の扱いに注意して）

政府の注意喚起は、脅威の検知、インシデント対応、脆弱性の発見にAIを使うことも勧めています。そのとき、情報の漏えいや意図しない学習への流用のリスクを管理するよう添えています¹。Hugging Faceは、AIを使った検知で侵入に気づき、1万7,000件を超える攻撃の記録をAIで分析して、ふつうは数日かかる作業を数時間で終えたとしています。その分析は、外部のAIサービスでは安全対策に止められたため、自社の環境で動かしたモデルで行い、攻撃の記録や認証情報を外に出さずに済んだとしています⁵。

専門家の力を借りる場面

自社だけで基本を回しきれないときは、次のような外部のサービスがあります。当サイトは特定の製品・サービスを推奨しません。

• 脆弱性診断: 外から見えるシステムやWebアプリの弱点を洗い出す
• ペネトレーションテスト: 攻撃者の立場で、実際に侵入できるかを試す
• 監視・検知のサービス: 端末やサーバーの不審な動きを見張り、早く気づく（EDRなど）

チェックリスト

• インターネットにつながる機器・サービスの一覧があり、更新を早く当てる手順と、直す順番の決め方があるか
• 多要素認証を必須にし、漏れた認証情報（APIキー・トークンを含む）を直ちに無効にする運用があるか
• 人とAIに与える権限を最小にし、システムを分けているか
• データベースやストレージが外から見える状態になっていないかを定期的に点検しているか
• ログを残し、異常に気づいたときに誰が判断し、どう切り離して復旧するかを決めて練習しているか