AIサイバー攻撃とは、人工知能を利用して悪意のある活動の計画、作成、または実行を行う攻撃のことです。2026年6月、悪意のあるサイバー活動により利用停止処分を受けた832のアカウントを対象とした分析によると、 67.3％ が、malware の作成にAIを利用していたことが判明しました。この抽出サンプルはすべてのサイバー攻撃を網羅するものではありませんが、セキュリティチームがphishing 以外のAI活用に対しても備える必要がある理由を示しています。
AIは、攻撃者が情報を説得力のあるメッセージや動作するコード、あるいは次の行動へと変換するのを助ける可能性があります。セキュリティへの影響は、その出力がアクセス権の取得、権限の拡大、あるいは機密リソースの制御につながるかどうかによって異なります。防御側は、攻撃を阻止するための対策を適切に選択するために、こうした関連性を理解する必要があります。
AIによるサイバー攻撃とは、1つ以上の悪意のあるタスクを支援するためにモデルを利用するものです。モデルは、コンテンツを生成したり、見慣れないソフトウェアを解析したり、行動の調整を支援したりすることがあります。モデルが指示を生成する能力と、攻撃者がそれを実行する能力とは異なります。実行には、ツール、アクセス権、および権限が必要です。自動化された活動があるという事実だけでは、AIが関与しているとは断定できません。
AIを活用した攻撃では、攻撃者はモデルの出力を利用してタスクを実行します。例えば、攻撃者は大規模言語モデル（LLM）を使用してなりすましメッセージを修正し、その受信者を選んで送信することが考えられます。生成されたコンテンツから実際の行動への移行を制御するのは人間です。
エージェント型攻撃では、ソフトウェアがモデルとツールを結びつけます。エージェントは、与えられた権限の範囲内で、行動を起こし、結果を検証し、次の行動を選択することができます。オペレーターは、依然としてターゲットの選択、認証情報の提供、あるいはその後の手順の承認を行う場合があります。したがって、自律性を「あるか、ないか」という二元的な特性として扱うのではなく、エージェントがどのタスクを実行し、人間がどの段階で介入したかを明らかにすることが、有用な評価となります。
AIは、攻撃者のツールにも、攻撃の対象となるシステムにもなり得ます。AI生成によるphishing は、個人やアカウントを標的とします。データポイズニングは、AIシステムの学習や運用に使用される情報を標的とします。Prompt injection は、悪意のある指示を通じてモデルを誤った方向に誘導しようとするもので、接続されたツールやデータに影響を及ぼす可能性があります。
これらのカテゴリーは重複する場合もありますが、それぞれ異なる調査が必要です。なりすましインシデントでは、通信記録、身元情報、およびアクセス記録の調査が必要となります。一方、prompt injection の疑いがある場合は、AIアプリケーションの入力データ、権限、および動作の調査も必要となります。NISTの敵対的機械学習分類法は、AIシステムに対する攻撃に対処するものです。このより広範な保護の問題については、「AIセキュリティ」を参照してください。
AIは、いくつかの段階で既知の攻撃手法を支援する可能性があります。英国国立サイバーセキュリティセンター（NCSC）による、サイバー脅威に対するAIの影響に関する評価では、AIがどのように攻撃者の能力を向上させ得るかが説明されています。各手法について、防御の観点から重要な問いは、AIが何を達成するのに役立つのか、そしてどのようなアクセスや認証の失敗がその結果を危険なものにするのか、ということです。
生成AIは、説得力のあるメッセージを作成したり、相手に合わせて言葉遣いを調整したり、話者の話し方を模倣したりすることができます。その結果生成されたテキスト、音声、または動画によって、詐欺的な要求があたかも本物であるかのように感じられてしまうことがあります。被害が発生するのは、受信者がその一見本物に見える身元を信じて、支払いの承認、コードの開示、アカウントのリセットなどの行動をとった場合です。
ヘルプデスクへの問い合わせを例に考えてみましょう。説得力のある声の持ち主が、携帯電話を紛失した社員だと名乗ります。ヘルプデスクがその声を十分な証拠として受け入れてしまうと、攻撃者のために認証情報をリセットしてしまう可能性があります。ここでの根本的な問題は、検証されていない身元を回復プロセスが受け入れてしまう点にあります。文法のチェックを強化してもこの問題は解決されませんが、独立して確立された検証チャネルであれば解決可能です。
メッセージレベルの警告サインや検証プロセスについては、AIの「phishing 」ガイドをご覧ください。
「偵察」とは、侵入の前または侵入中に標的に関する情報を収集することを指します。AIは、公開情報の解釈、コードの解析、および脆弱性が露呈しているシステムに関する調査結果の整理を支援することができます。これにより、不慣れな環境を理解するために必要な労力を軽減できますが、分析結果や提案された攻撃手法そのものが、システムに脆弱性があることや侵害されていることを直接的に立証するものではありません。
セキュリティ上の対応策は実用的なものです。つまり、どのサービスにアクセス可能か、それらが不可欠かどうか、そしてどのようなリソースにアクセスできるかを把握することです。メンテナンスが不十分で、インターネットに公開され、かつ内部でのアクセス権限が広範囲に設定されているアプリケーションは、孤立したサービスとは異なるリスクをもたらします。是正措置の優先順位を決定するには、脆弱性の深刻度に加え、露出状況やアクセス環境を考慮する必要があります。
開発中のAI支援には、コードの説明、エラーのトラブルシューティング、既存のコンポーネントの適応などが含まれます。その結果として生成されたmalware は、モデルを一切使用せずに実行される場合もあります。この区別は重要です。なぜなら、AIサービスとの接続のみに注目していると、AIを用いて作成され、その後独立してデプロイされたコードを見逃してしまうからです。
ガートナーの2026年9月の分析では、コーディング支援と、malware の新たな機能に関する主張とを区別しており、実行中にAIを利用するmalware については、その多くが実験段階にあると説明している。評価の焦点は、悪意のあるプログラムが何を行うか、すなわち、プロセスを起動するか、ファイルを変更するか、認証情報を収集するか、あるいは外部と通信するかという点にある。その開発手法は追加的な背景情報に過ぎず、プログラムの挙動を観察することに代わるものではない。
認証情報は身元を確立するのに役立ち、権限はその身元が何ができるかを決定します。セッションやトークンは、認証後もアクセスを継続することを可能にします。これらを入手した攻撃者は、パスワードを繰り返し入力することなく、正規のアプリケーションを通じて操作を行うことができる可能性があります。
「ラテラルムーブメント」とは、最初の足掛かりを利用して他のシステムやアカウントに侵入することを指します。AIはアクセス関係や結果の解釈を支援できますが、権限が過剰に付与されていると、さらなる侵入が可能になります。オーストラリアのシグナルズ・ディレクテートは、AIサービスへのアクセス権が侵害された場合、認証情報、鍵、またはセッションが盗まれる可能性があり、それによって接続されたシステムに影響が及ぶと具体的に警告しています。その影響の程度は、侵害されたIDやサービスが持つアクセス権限によって異なります。
アクセス権を取得した後、攻撃者は盗む価値のある情報を見つけ出す必要があります。AIを活用すれば、取得した情報を要約したり分類したりすることができ、大量の情報をより容易に評価できるようになります。これ自体はデータへのアクセス権を生み出すものではありませんが、既存の不正アクセスをより有効に活用できるようになる可能性があります。
セキュリティ担当者にとって、エクスポートの量は問題の一部に過ぎません。少数の機密性の高い契約書や認証情報の方が、大規模な日常的なバックアップよりも重要になる場合があります。調査担当者は、どのIDがデータにアクセスしたか、その活動がそのIDの役割に合致しているか、データがどこへ送られたか、そして承認された業務上の目的があったかどうかを把握する必要があります。
情報公開は、実際に確認されたAIの利用事例と予測を区別するのに役立ちます。以下の各事例では、報告された一連の経緯と、そこから得られる教訓を挙げています。これらの証拠は特定の調査に基づくものであるため、同様の行動がすべての組織においてどれほど一般的であるかを示すものではありません。
2025年12月、FBIは、テキストメッセージやAI生成音声メッセージを用いた米国高官へのなりすましに関する警告を更新した。同警告では、会話を暗号化されたメッセージアプリに移行させ、連絡先へのアクセスを可能にする認証コードを入手しようとする試みについて説明された。こうした連絡先は、さらなるなりすまし行為に利用される可能性がある。
その手口は「信頼の連鎖」というものでした。一見すると見覚えのある人物がアクセスに関する要求を行い、その結果得られた情報を使って、さらに別の人物を標的にすることが可能になるというものです。ここから得られる教訓は、独立して確認済みの連絡先情報を通じて、本人確認と要求された行動の両方を検証する必要があるということです。声が本物のように聞こえたからといって、コードの共有が許可されているとは限りません。
Anthropic社は、2025年9月に検知された、約30の組織を標的とし、そのうちごく一部のケースで成功を収めたスパイ活動を阻止したと報告した。同社の説明によると、偵察、脆弱性分析、認証情報の収集、盗んだデータの整理といった一連の作業において、AIが支援を行っていたという。同社は、このキャンペーンにおける戦術的な作業の80～90％をAIが担当し、重要な意思決定は人間が行っていたと推定している。
この推定値は、調査対象となった特定のキャンペーンに関するものです。また、報告書では、調査結果の過大評価を含むモデルの誤差についても説明されています。この報告書は、相互に関連した多段階の活動を計画することの重要性を裏付けていますが、提案されたすべての攻撃手法が機能したことや、完全に自律的な攻撃が確実に成功することを示しているわけではありません。防御側は、個々の行動が通常の管理業務に似ていても、アクセスからデータ収集に至る一連の流れに注意を払う必要があります。
Anthropicの2026年9月の報告書では、GTG-50014と指定された金銭的動機を持つ攻撃者が、流出した認証情報を利用した操作、データベースへのアクセス、および窃取や恐喝においてAIを活用している実態が記述されている。同報告書で取り上げられた事例は、機会を捉えたアクセスが、必ずしも毎回新たなエクスプロイトを必要とすることなく、より広範な侵入へと発展し得ることを示している。本報告書では、2025年12月から2026年8月の間に阻止された、注目すべき活動の一部を取り上げている。
防御上の教訓は、秘密情報の漏洩と、その後のアカウントやデータの活動との関連性を把握することである。漏洩した鍵を削除することは必要だが、調査では、それがどこで使用されたか、何にアクセスできたか、そして攻撃者が環境への別の侵入経路を作設したかどうかについても明らかにすべきである。この情報開示は、プロバイダーが確認した証拠であり、世界的なサイバー犯罪に関する独立した推計ではない。
AIを活用すれば、結果を解釈し、次にどのような対策を講じるべきかを判断するために必要な労力を軽減できます。しかし、それにより防御側には連携上の問題が生じます。つまり、攻撃者が1つの目標に向かって行動している一方で、防御側のチームは、ID、エンドポイント、クラウドに関するアラートをそれぞれ個別に把握してしまう可能性があるのです。対応にあたっては、行動に移せるよう、これらの事象を早期に結びつける必要があります。
Anthropicが実施した特定アカウントを対象とした調査によると、2025年3月から2026年3月までの調査期間において、中リスク以上と評価されたアクターの割合は、前半6ヶ月の33％から後半6ヶ月には56％へと上昇した。同社の評価は、脅威の意図、AIの活用、および影響度を総合的に考慮したものである。 また、同プロバイダーは、検知能力の向上もこの変化の一因となっている可能性があると指摘している。これは、特定の対象集団におけるプロバイダーが定義したリスク指標の変化であり、世界的な攻撃増加率を示すものではない。
以下の架空のシナリオは、証拠と介入がどのように結びつくかを示しています。これは、報告された顧客のインシデントや、検証済みの製品結果ではありません。なりすましによってアカウントが乗っ取られ、その結果、クラウドアプリケーションへのアクセスが可能となり、不正なデータエクスポートが行われたと仮定します。
セッション、トークン、キー、権限の変更、および影響を受けるデバイスを確認してください。アクセスが実際に終了していることを確認してください。
AIがなりすましの作成や、アプリケーションの結果の解釈に関与していた可能性があります。観測された一連の動作は、その原因が特定される前に調査や封じ込めを行う正当な理由となり得ます。そのため、個別のアラートの集まりよりも、どのIDがどのリソースに対してどのアクションを実行したかを示す証拠の方が有用なのです。
検知の目的は、不審な活動や不正な活動を特定し、その範囲を把握した上で、次の対応方針を決定することにあります。ネットワーク接続情報だけでは、攻撃者がAIを使用してメッセージやスクリプトを作成したかどうかを判断することはほとんど不可能です。AIの関与を示す証拠を待つことは、すでに侵害が明らかになっている証拠に対する対応を遅らせる恐れがあります。
記録によって、答えられる質問は異なります。これらの記録を組み合わせることが有用なのは、調査担当者が同じアカウント、デバイス、リソース、および時刻を関連付けられる場合に限られます。たとえば、IDプロバイダーがログインを記録し、アプリケーションがその後のデータエクスポートを記録する場合がありますが、いずれの記録も単独ではそのイベントの全容を説明することはできません。
インシデントが発生する前に、これらの制限事項を確認してください。有用なイベントが収集されていること、タイムスタンプの整合が取れていること、およびシステム間でアカウント識別子が解決できることを確認してください。防御担当者がAIを活用して証拠を分析する方法については、「AIによる脅威検知」を参照してください。
通常とは異なるダウンロードであっても、正当なものである可能性があります。移行、バックアップ、または承認済みの分析タスクなどがその理由として考えられます。しかし、同じアカウントで予期せぬ復旧イベントが発生したり、新しいアプリケーションへのアクセス許可が与えられたり、通常の職務範囲外の機密データへのアクセスが行われたりした場合、その信頼性は揺らぎます。
有用な調査では、その一連の経緯を再構築し、業務上の説明を確認し、影響を受けたリソースを特定します。記録が欠落している部分については、不確実性を残しておく必要があります。リスクスコアによって対応の優先順位をつけることはできますが、アナリストは、アクセスを制限するか、所有者に連絡するか、あるいは引き続き監視を続けるかを判断するために、依然として根本的な事象や背景情報を把握しておく必要があります。
承認済みのテストアカウントと機密性のないデータを用いた制御された演習を行い、実例をシミュレートします。事前に想定されるレコードと対応範囲を定義しておきます。その後、有用なアラートが発行されるまでの時間、影響を受けたIDおよびリソースを特定するまでの時間、および封じ込めが確認されるまでの時間を測定します。
これらは異なる結果です。アラートは迅速に届いても、対応に必要な十分な背景情報が欠けている場合があります。また、対応コマンドが成功を報告しても、別のアプリケーションセッションがアクティブなまま残っている場合もあります。チームに対し、その決定の根拠を実証するよう求め、関連するアクセスが停止したことを確認してください。欠落しているログ、手動での引き継ぎ、および対応の依存関係を、具体的な改善課題として記録してください。
対策は、侵入、侵害されたIDの到達範囲、およびアクセス後の活動を遮断する能力に対処すべきである。各対策が攻撃経路と検証可能な結果に結び付けられている場合、その価値を評価しやすくなる。以下の優先順位は、予防と対応の両方に同様の考え方を適用したものである。
インターネットに公開されているサービス、その管理者、および依存関係を把握しておく。不要なサービスやサポート対象外のサービスを削除し、公開範囲、悪用リスク、および攻撃者がアクセス可能なリソースに基づいて、修正の優先順位を決定する。パッチを適用することで特定の脆弱性を修正できるが、不要なサービスを削除すれば、その攻撃経路を完全に遮断できる。
オーストラリア通信情報局（ASD）が策定した、AIを活用したサイバー攻撃に関する組織向け指針では、公開されているサービスの削減、権限の制限、有用なログの一元管理、および対応・復旧訓練の実施が推奨されています。AIというラベルを独立した是正措置のカテゴリーとして扱うのではなく、これらの優先事項を既知のアクセス経路に適用してください。
サポートされている場合は、phishing 耐性のある認証を使用してください。NISTによると、FIDO2認証で使用されるWebAuthnは、認証を正規のサービスのドメインに紐づける仕組みとなっています。この紐づけにより、偽装サイトが本物のサービスで利用可能な認証結果を取得することを防ぐことができます。手動で入力するワンタイムコードでは、同様の保護は得られません。NISTの認証に関するガイダンスをご参照ください。
アカウントの復旧についても、同等の注意を払って保護してください。たとえ強力なログイン方法を採用していても、なりすまし犯がサポート担当者を説得してその方法を変更させてしまえば、その保護効果は限定的になってしまいます。リスクの高いリクエストについては、確立された手順を通じて確認を行い、変更を承認した担当者を記録してください。不審なセッションやデバイス、およびログイン失敗の事例については調査を行ってください。すでに認証済みのセッションを利用している攻撃者は、再度の認証要求をトリガーしない可能性があるためです。
人間ユーザー、サービスアカウント、AIエージェントには、それぞれの役割に必要なアクセス権のみを付与し、責任の所在を明確にする必要があります。フォレスターが公表した2026年の脅威評価レポートでは、エージェントに関する「アイデンティティ」「出所」「アクセス制御」が重要視されています。実際には、チームは、誰がエージェントを承認したか、そのエージェントがどのシステムを利用できるか、そしてそのアクセス権をどのように取り消すかを特定できる必要があります。
インシデントが発生する前に、アカウントの利用制限、鍵やトークンの無効化、セッションの終了、デバイスの隔離、接続の遮断を行う権限を持つ担当者を決定しておく必要があります。これらのアクションに必要な権限についてテストを行ってください。必要に応じて、適用範囲を限定し、元に戻せる自動化を導入するとともに、監査証跡を残し、誤った操作に対する復旧手順を整備してください。
対応にあたっては、関連する証拠を保全し、影響を受けたIDおよびリソースを特定し、アクセスを封じ込め、侵入の持続性を調査してください。パスワードのリセットだけでは、封じ込めが成功した証拠とはなりません。NISTは、IDプロバイダーとアプリケーションのセッションはそれぞれ独立して管理・終了されるため、一方を終了させてももう一方がアクティブなままになる可能性があることを指摘しています。関連するアプリケーションのセッションや代替のアクセス経路を確認した上で、アクセスを復旧する前に根本的な原因に対処してください。NISTのセッション管理に関するガイダンスを参照してください。
検知機能を評価するチームには、IDのアクティビティとネットワークおよびクラウド上の挙動を結びつける証拠が必要です。Vectra AIのAIネイティブなセキュリティおよび可観測性アプローチには、これらの環境全体にわたる人間および非人間のIDの挙動分析が含まれています。実例を用いて、そのコンテキストが調査をどのように支援するかを確認してください。IDベースの攻撃検知について詳しく見てみましょう。
一般ユーザーによるレビューからは、評価の際に役立つ質問が得られる場合があります。2026年5月のGartner Peer Insightsのレビュー抜粋では、行動の可視性が高く評価されている一方で、カスタマイズに手間がかかる点が指摘されています。2026年4月のG2のレビューでは、調査に役立つコンテキストや設定について言及されていますが、その実現には資料の精読やサポートへの問い合わせが必要だったと記述されています。G2はこのレビューを「インセンティブ付き」と表示しています。これらは個々の体験に基づくものであり、Peer InsightsのレビューはGartnerアナリストのリサーチとは別物です。ご自身の環境における設定要件、利用可能な証拠、および応答の依存関係を把握するには、デモを依頼してください。
サノフィの顧客事例は、関連性のある対応事例を示しています。Vectra AIが公表した事例では、採用担当者を装った攻撃や感染したWord文書について説明されており、サノフィの担当者は、この攻撃の検知と阻止についてVectra AIの功績を称えています。この事例からは、攻撃者がAIを使用したかどうかは明らかではありません。その関連性は、侵害発生後の検知および対応のワークフローにあります。
そのワークフローを検討されている場合は、Vectra AIのデモをご依頼いただき、上記のシナリオを参考に、証拠の網羅性、調査の手順、および封じ込め措置の検証方法についてご検討ください。
注：本ガイドは、公開されているインシデント情報、政府のガイダンス、アナリストによる公開コメント、および厳選された顧客レビューを参考に作成されています。掲載されている具体例および評価フレームワークは、提案された実践例であり、実機テストの結果ではありません。
ツールとアクセス権限を持つAIエージェントは、人間からの入力が限られている場合でも、攻撃の一部を実行することができます。自律性の程度はケースによって異なります。AIによる支援があったという報告があっても、それが人間の指示なしに作戦全体が実行されたことを証明するものではありません。
いいえ。攻撃者はAIを利用して、従来の電子メール、エンドポイント、ネットワーク、クラウドサービス、あるいはIDを標的にすることができます。AIシステムに対する攻撃は、モデルの入力や学習データを操作することを含む、これとは別の、かつ一部が重複するカテゴリーです。
ネットワークトラフィックからは不審な行動が明らかになることもありますが、通常、攻撃者がどのようにメッセージやスクリプト、計画を策定したかを特定することはできません。AIによる犯行の特定には、追加の証拠が必要となります。チームは、AIの関与を事前に立証することなく、悪意のある活動を調査し、封じ込めることができます。
多要素認証は、特にphishing に耐性のある方式が採用されている場合、アカウント乗っ取りのリスクを低減します。ただし、すべての攻撃経路を防御できるわけではありません。また、チームはエンドポイントのセキュリティ確保、権限の管理、セッションやトークンの監視、および認証後のアクティビティの調査も行う必要があります。
各プロバイダーの報告書によると、悪意のある活動におけるAIの利用は拡大しているものの、世界的な成長率を一概に示すものではありません。検出された悪用事例の増加は、攻撃者の行動の変化、プロバイダーのユーザー層の変化、あるいはその検出方法の変化を反映している可能性があります。統計を比較する際は、サンプル、観測期間、およびAIを利用した攻撃の定義を確認してください。
