AI攻撃の自動化で増えるセキュリティ事故と、APIの脆弱性診断

直近、国内では多数のハッキング事件や情報流出が相次いで公表されています。弊社が国内組織の公表情報を独自に調べたところ、2026年9月2日から10月9日までに確認したセキュリティ事案は155件で、1日平均で約4.1件にのぼります※1。

なぜ、情報流出が増えているのか？AIを利用した自動攻撃なのか

情報流出が相次ぐ背景の一つとして、AIを利用した攻撃の自動化が考えられます。AIエージェントは、攻撃対象を探し、弱点を試し、結果に応じて次の手を考える作業を連続して進められるためです。

LLM（大規模言語モデル）は、文章や画面の情報を読み取れます。これをエージェントの仕組みと組み合わせると、ブラウザーや各種ツールを動かしながら、どこを攻撃するか自律的に探索できます。探索結果に応じて、次の作業へ進めることもできます。

Anthropicが公表した事例では、攻撃者がAIエージェントを使い、約30の組織を標的にしたとされています。同社の説明では、AIが偵察や脆弱性の確認など攻撃キャンペーンの作業の80〜90％を担い、人間は数回の重要な判断点で介入しました※2。これはAIが人間の関与なしに無制限に攻撃したという報告ではありません。しかし、調査と試行の多くをエージェントに任せ、人間が節目を判断する運用が現実に行われた例です。

このようなエージェントは、一般論として、次のような調査の流れをつなげられます。

• 1. サイトを巡回する。公開ページや画面の情報を読み、利用できる機能を把握します。
• 2. 弱点の可能性を見つける。画面や応答から、認証や権限の確認が不十分かもしれない箇所を推測します。
• 3. 結果を見て次の確認を選ぶ。想定と異なる応答があれば、別の条件で調べるなど、結果に応じて作業を続けます。

この流れは、許可を得て行うセキュリティ診断でも使われる調査の考え方と重なります。攻撃者が同様の仕組みを多くのサービスに向けて動かせば、人が一件ずつ調べていたときよりも、対象や試行の数が増える可能性があります。

ただし、今回集計した国内事案で、この手順がAIにより実行されたと確認されたわけではありません。また、エージェントが常に正しく判断するわけでもなく、誤った情報を事実のように扱うことがあります。Anthropicの報告でも、AIが誤った認証情報や公開情報を盗み出したと誤認した例が記されています※2。

オープンウェイトモデルで、安全機能を制御しにくくなる

攻撃者が利用できるモデルも変化しています。提供会社のサービスを通じて使うモデルとは異なり、オープンウェイトモデルは重みをダウンロードして自分の環境で動かせるものがあります。モデルやライセンスによって条件は異なりますが、第三者が追加学習したり、安全機能を変更したりできる場合があります。

たとえば、Anthropicは2026年にGLM-5.3を隔離された環境で評価し、既知の脆弱性を利用する課題などで一定の攻撃能力を確認したと報告しました※3。これはベンダー自身による能力評価であり、GLM-5.3が現実の国内事案で使われた証拠ではありません。それでも、利用者が自由に入手・実行できるモデルの能力が高まると、提供会社のサービス上の安全制御だけでは、利用者側での改変や組み合わせを止められない可能性があります。

「モデルが倫理観を失う」というより、人間が安全機能を弱めたり、外部ツールと組み合わせたりして、より自由に動作する環境を作れることがリスクです。エージェントが自律的に動く範囲や時間は、実行環境、計算資源、利用できるツール、運用者の設定に左右されます。

24時間の攻撃が当たり前になるのか

人間が判断しながら一件ずつ調べる方法に比べ、エージェントは決められた範囲で調査を繰り返し、結果に応じて次の確認へ進めます。攻撃者が複数のエージェントを並列に動かし、長時間稼働させる仕組みを作れば、攻撃対象を探す作業が、時間や人手の制約を受けにくくなる可能性があります。

ただし、「AIが無限に、24時間、止まらずに攻撃する」ことがすでに一般化したわけではありません。モデルの誤り、実行環境の停止、ネットワークや計算資源の制約、防御側の検知や遮断もあります。現時点で言えるのは、AIを使った攻撃の一部がすでに自動化され、オープンウェイトモデルを含む利用可能なモデルの能力も変化していることです。**弊社は、こうした変化が続けば、攻撃対象を探す活動や攻撃の試行が今後さらに増える可能性が高いと見ています。**将来の件数を今回の公表情報から予測することはできませんが、攻撃がより長時間・広範囲に自動化されるシナリオを想定して備える必要があります。

AIの自動化された攻撃に、脆弱性診断と再診断でどう備えるか

そのため、年1回の脆弱性診断を受けるだけでなく、社内で自社サービスを攻撃者と同じ視点から調べる積極的な対策が必要です。許可された範囲で公開画面やAPIを調査し、想定される攻撃を検証して、見つかった弱点を優先度に沿って一つずつ修正します。修正後は同じ条件で再診断し、必要に応じて同様の機能にも同じ問題がないか確認します。

これは公開前の一度だけでなく、機能やAPIを追加・変更するたびに繰り返します。「誰が、どのデータに、何をできるか」を確かめ、意図したアクセスだけができることを確認します。

特に、画面でボタンを隠すだけでは権限管理になりません。APIへ直接アクセスされても、サーバー側で利用者と対象データの関係を確認しなければなりません。OWASPの認可テスト資料も、機能、利用者の役割、データ単位で権限を定め、変更後に検査する方法を勧めています※4。

リアルタイムで攻撃の兆候を捉える

予防の点検と並行して、サービスのログを監視し、異常なアクセスを早く見つける仕組みを整えます。たとえば、短時間の認証失敗の急増、同じアカウントからの大量のAPI呼び出し、通常と異なるデータ参照が続いた場合に、担当者へ通知できるようにします。

兆候を検知したら、状況に応じてアクセスを一時制限し、認証情報の無効化や影響範囲の確認、ログの保全を行います。攻撃者の通信が通常利用に似る場合もあり、監視だけですべての攻撃を見つけられるわけではありません。サーバー側の認証・認可、アクセス制限、継続的な診断と組み合わせて対応します。

まとめ

1. 情報流出の公表が増えている。
   弊社の調査では、2026年9月2日から10月9日までに確認した事案は155件でした。同一事案を複数組織が公表した場合を含むため、攻撃の実数とは分けて読みます。
2. 攻撃はAIで自動化され、より自律的に動くようになりつつある。
   報告された事例では、エージェントが作業の多くを担いました。オープンウェイトモデルの能力も変化しています。ただし、国内の個別事案でAIの利用が確認されたわけではありません。
3. 守る側も、攻撃者と同じ視点で点検し続ける。
   自社サービスを診断して弱点を一つずつ直し、修正後に再テストします。あわせて攻撃の兆候をリアルタイムで捉え、制限・調査・ログの保全につなげます。

弊社のマルゴト DXセキュリティでは、WebアプリやAPIの脆弱性診断（認証・認可、画面側のコードの確認）から、修正・再診断までを支援しています。何から点検すればよいか分からない場合は、無料相談からお問い合わせください。

出典・調査方法

※1 弊社独自調査。2026年9月2日から10月9日までに国内組織が公表したセキュリティ事案を集計。被害の可能性が公表された事案を含み、同一事案を複数組織が公表した場合も別々に計上しています。

※2 Anthropic, “Disrupting an AI-orchestrated cyber espionage campaign”（2025年11月）

※3 Anthropic, “GLM-5.3 and the spread of advanced cyber capabilities”。オープンウェイトモデルの能力評価。テストは隔離環境で実施されています。

※4 OWASP Authorization Testing Automation Cheat Sheet