AIはすでにサイバー作戦で使われている
国家に関連する行為者や犯罪者は、偵察、翻訳、スクリプト作成、フィッシング用のコンテンツ、脆弱性分析、マルウェア関連の作業に汎用AIを利用している。OpenAIとMicrosoftは2024年、中国、ロシア、イラン、北朝鮮に関連する集団によるそうした利用を報告したが、同時に、自社のモデルがあったからこそ可能になったような重大な攻撃は確認していないとも述べた(OpenAIとMicrosoftの共同開示)。
2025年11月、Anthropicは、中国国家に支援された集団がサイバースパイ活動のキャンペーンにおいてClaude Codeを利用し、戦術的な作業の大半をこのモデルに帰したと報告した。Anthropicはこれを、人間の関与を最小限に抑えた初の文書化された大規模作戦と呼んだ。この説明は重要な企業による自己報告ではあるが、独立に再構成された公開のインシデントではない。機微な詳細やテレメトリは外部の研究者には入手できず、「80〜90パーセント」の自動化という推定は、タスクをどう数えるかに依存する(Anthropicの開示)。
2026年の国際AI安全報告書は、較正された結論に至っている。サイバー能力は向上しており、攻撃者はAIを採用しているが、完全に自動化されたエンドツーエンドの攻撃は公に報告されておらず、全体的な攻撃頻度への影響は依然として不明である(国際AI安全報告書2026)。
AIがワークフローを変えうる場所
サイバー作戦は、単一のプロンプトではなく連鎖である。攻撃者は標的を特定し、情報を収集し、アクセスを得て、ネットワーク内を移動し、権限を昇格させ、検知を回避し、窃取や妨害を追求する。AIは、大規模なコードベースを検索し、亜種を生成し、技術資料を翻訳し、反復的な行動を調整することによって、この連鎖の一部を加速しうる。
最も頑健な能力の証拠は、脆弱性の発見に関するものである。AIシステムは実際のソフトウェアの欠陥を発見しており、DARPAのAIサイバーチャレンジのチームは、オープンソースソフトウェアを分析しパッチを当てるために、AIを従来のツールと組み合わせて使用した(DARPA AIxCC)。発見は両用である。防御側は欠陥にパッチを当てることができ、攻撃側はそれを悪用することができる。ある結果がセキュリティを向上させるかどうかは、誰が先に見つけるか、開示がどう扱われるか、影響を受けるシステムがどれだけ迅速に更新できるかに依存する。
エージェントはまた、新たな専門知識を生み出すことなく、必要とされる技能と時間を下げることもある。有能な運用者は、日常的なサブタスクを委任し、より大規模に活動できる。初心者は、もっともらしく見えるコードを受け取っても、それをデバッグしたり隠したりする判断力を欠いているかもしれない。ベンチマークはしばしば、整った capture-the-flag 演習や既知の脆弱性を用いるため、高い性能は防御された企業環境に自動的には転移しない。
なぜインフラが特別な注意に値するのか
電力、水道、通信、交通、医療システム、金融決済は、相互接続されたデジタル・運用技術に依存している。一部の設備は、交換までのサイクルが長く、ログが限られ、可用性の要件が脆弱であったり、旧式のプロトコルを使っていたりする。運用者は、試験によるダウンタイムと安全性への影響なしに、通常のパッチを適用できないことがある。
それでも、「重要インフラ」が一様に脆弱なわけではない。一部のシステムは分離されていたり、手動制御を用いていたり、分野固有の強い規制を受けていたりする。多くのインシデントは、目新しいAI設計のエクスプロイトよりも、盗まれた認証情報、パッチの当たっていないインターネット向けシステム、ベンダーによるアクセス、貧弱なバックアップ、ソーシャルエンジニアリングといったありふれた弱点から始まる。AIはこうした経路を強化しうるが、基本的なセキュリティは依然として非常に重要である。
結果もまた様々である。業務用メールの侵害は、物理的な設備の制御とは異なる。破滅的なインフラ攻撃の主張は、デジタルアクセスから物理的な被害への経路、関わる安全インターロック、アクセスを維持する攻撃者の能力を説明すべきである。防御レベルでこうした詳細を避けることは、もっともらしいシナリオを、根拠のない見出しに変えてしまいかねない。
攻防バランスは未解決である
攻撃者は一度成功すればよいが、防御側は毎回成功しなければならないと言いたくなる。そのスローガンは一つの非対称性を捉えているが、他を見落としている。防御側は、アーキテクチャ、身元管理、パッチ適用、監視、バックアップ、復旧を統制する。防御的なAIは、人間のチームよりもはるかに多くのコードとテレメトリを検査し、アラートに優先順位をつけ、リリース前に欠陥を見つけ、修復を自動化できる。攻撃者は、しばしば秘匿性を保ち、アクセスを維持し、自分が統制していない環境に適応しなければならない。
国際AI安全報告書は、汎用AIが攻撃者と防御側のどちらをより多く利するかは不明であると明確に述べている。その不確実性こそが正確な予測である。結果は分野や時期によって異なるかもしれない。攻撃側が新たな能力から先に利益を得て、その後、ツールとパッチが普及するにつれて防御側が追いつく、という具合である。オープンソースの構成要素は、脆弱性と修正の両方を急速に広めうる。
AIシステムはまた、新たな攻撃対象領域を作り出す。プロンプトインジェクションは、メール、文書、ウェブページに埋め込まれた悪意ある指示にエージェントを従わせうる。過剰なツール権限は、モデルの誤りをデータ損失に変えうる。モデルのサプライチェーン、プラグイン、メモリストア、認証情報は、他のソフトウェアと同じ最小権限と隔離の原則に加え、モデル固有の振る舞いについての新たな試験を必要とする。
良い証拠とはどのようなものか
サイバーに関する主張は帰属が難しい。ある脅威インテリジェンス企業やAI開発企業は自社のテレメトリしか見ておらず、商業的なインセンティブを持っているかもしれない。被害者はインシデントを開示しないかもしれない。攻撃者は複数のモデルと従来のツールを使うことができ、AIの限界的な効果を切り分けることを難しくする。
ベンチマークは、汚染や非現実的なスキャフォールディングによって能力を過大評価することがあり、貧弱な引き出しによって過小評価することがある。報告は、モデルのバージョン、エージェントのツール、タスクの新規性、人間による支援、成功基準、繰り返し試行率、標的がシミュレートされたものか実際のものかを開示すべきである。独立した再現と責任ある情報開示は信頼性を高める。
最も重要なのは、観測された採用と因果的な影響を区別することである。「ある攻撃者がAIを使った」ことは、AIが侵害を可能にした、被害を増大させた、あるいはキャンペーンの結果を変えたことを証明しない。同時に、公的な帰属の欠如は不在を証明しない。確信度のラベルは、断定的な主張よりも誠実である。
あらゆる能力シナリオにわたって機能する防御
インフラの運用者は、資産と依存関係を棚卸しし、運用技術を分離し、フィッシング耐性のある多要素認証を要求し、常設の権限を最小化し、リモートおよびベンダーによるアクセスを監視すべきである。試験済みのオフラインバックアップと手動の復旧手順は、AIを活用した攻撃と通常のランサムウェアの双方の影響を制限する。調達には、安全な開発と適時の脆弱性対応を求めるべきである。
AIエージェントには、制約された権限、隔離された実行、ログ記録、不可逆的な行動に対する人間の承認が必要である。信頼されていない情報源からの入力は、敵対的なものとして扱うべきである。組織は、エージェントを本番システムに接続する前に、プロンプトインジェクション、認証情報の漏洩、ツールの誤用についてレッドチーム演習を行うべきである。
政府は、分野内の情報共有、最低限のサイバーセキュリティ基準、協調的な情報開示、人材育成、物理的な復旧を含む演習を支援できる。モデル開発企業は、悪用を監視し、証拠を保全し、指標を責任を持って共有し、資格を持つ外部評価者にサイバー能力試験へのアクセスを提供できる。
較正された結論
AIは、仮定上のサイバー関連性から、文書化された利用へと移行した。それは作戦の意味のある部分を自動化し、脆弱性の発見を改善できる。最も強力な公開の証拠は、完全に自律的なエンドツーエンドのサイバーキャンペーンをまだ示してはいないし、攻撃が今後当分の間防御を上回ることを立証するものでもない。
このリスクが深刻であるのは、能力が拡大しうること、インフラが持続的な弱点を含んでいること、そしてエージェントが人間によるレビューよりも速く行動できることによる。機会も同様に具体的である。同じシステムが脆弱性を発見し修復することができるのだ。政策は、係争中の攻防バランスを確定した法則として扱うのではなく、結果を測定し、システムを強化し、防御的なアクセスを維持すべきである。