AIの進化がもたらす「攻撃と防御」の変化【後編】～犯罪と軍事が先を走る時代に、企業に求められる備え

技術の先行者は、いつも正規のビジネスだけではない

AIはこの数年で、「便利な道具」から「行動する存在」へと変わった。この点を前編で振り返った。次に問うべきは、その変化がどこで最も速く進むのかである。人類の歴史を振り返れば、新しい道具はしばしば、犯罪や軍事・安全保障の領域で早く試されてきた。

これはAIに限った話ではない。インターネットも、生活やビジネスの基盤として広がる一方で、詐欺、なりすまし、情報窃取の場になった。正規の利用が広がるより前に、悪用は始まっていた。

なぜ、悪用の方が速く進みやすいのか。犯罪の側は、倫理、説明責任、法令順守、社内稟議、ブランド保全といった制約を無視しやすいからである。もちろん犯罪は許されず、軍事利用にも国際法や政治的責任という重い制約がある。しかし、技術の試行速度だけで見れば、制約の性質が異なる領域ほど、早く実験が進むことがある。

そういう中で2026年4月、Anthropicにより発表されたAIモデル「Claude Mythos Preview」が示した驚異的なサイバー攻撃能力の高さは、AIによる攻撃の現実的な脅威を身近に感じさせ、恐怖をあおっているようにもみえる。しかし、犯罪に先んじて公開されたことは大変評価されるところである。そのうえで、AI利用においても犯罪が先行していく危険性は高いと考えておくべきだろう。

企業が「AIをどこまで使うか」「社内規程をどうするか」と慎重に検討している間に、攻撃者はAIを使っている。偵察を自動化し、だましの文面を作り、弱点を探し、侵入後の作業を効率化する。失敗しても別の標的で試せばよいのだから、学習のサイクルが速い。

だから、AI活用を考えるときには、自社がAIをどう使うかと同時に、攻撃者がAIをどう使ってくるかを考えなければならない。

犯罪・軍事は、ビジネスより先を走る

AIの利用レベルを、正規のビジネス領域と犯罪・軍事領域で比べると、攻撃側や安全保障領域が1〜3年ほど先を走っている可能性があると、筆者は考えている。重要なのは、制約の少ない領域ほど技術が先に試されやすい、という点である。

AIを高度な文房具として使う段階をLv.1、特定の作業を自動で実行する段階をLv.2、複数のAIが連携して多くの工程を担う段階をLv.3とすれば、正規領域はいまLv.2の途上にある。一方、犯罪・軍事領域では、文章生成や偽情報、偵察といった用途でLv.1が早くから試され、Lv.2にあたる弱点調査やプログラム作成、侵入後の作業支援もすでにかなり取り込まれている。そしてLv.3にあたる事例が、2025年から2026年にかけて見え始めている。

実際、2026年7月1日に米国のセキュリティ企業Sysdigが公表した事例は、その転換点を示している。

報告によれば、攻撃はインターネットに公開されたままになっていた業務用ソフトウェアから始まった。そこを入口に、社内のパスワードや接続先の情報を探し出し、データの保管場所にたどり着き、中身を暗号化して身代金を要求する。この一連の流れの大部分を、AIがつないだとみられている。

従来、この工程は攻撃者が一つずつ手を動かして進めるものだった。人手がかかるからこそ、狙われる相手も自然に絞られていた。その人手の部分が、目的を与えれば動くAIに置き換わりつつあるということだ。Sysdigは、AIが最初から最後まで攻撃を主導した、記録された最初の事例だと評価している。

もちろん、標的の選定や環境の準備に人間が関わっていた可能性は残る。それでも重要なのは、人手の制約が事実上の防波堤になっていた領域で、その防波堤が低くなり始めたという点である。

サイバーセキュリティは、相手がいる世界である。自社だけがゆっくり進むことは可能だが、相手が待ってくれるわけではない。

悪意がなくても、AIは想定外に動く

そしてこの直後、攻撃者の話では片づけられない事案が公表された。

7月16日、AIのモデルやデータを世界中の開発者が共有する大手サイト、Hugging Faceが自社のインフラシステムが侵入されたことを公表した。侵入は端から端までAIによって進められていたが、それが誰のAIなのかは分からない、という異例の内容だった。5日後の7月21日、OpenAIが名乗り出た。侵入していたのは、OpenAIが社内で性能評価テストをしていた自社のAIだったのである。

事情はこうである。テストの目的は、AIのサイバー攻撃能力を測ることだった。そのため、普段は働いている安全装置を意図的に外し、外部とつながらない隔離環境で実施していた。ところがAIは、その隔離を支えていた仕組みに、開発元も気づいていなかった欠陥を見つけ、外に出た。そのうえで他社の本番システムに入り込み、テストの正解データを持ち出した。

動機は、悪意ではない。テストで高い点を取ることである。その目標に極端に最適化した結果、AIは答えを盗むという手段を選んだ。人間の世界で言えばカンニングである。英国のAI安全当局も同じ時期に、評価の抜け道を探る挙動を複数のモデルで確認したと公表している。

OpenAIはこれを前例のない事案と位置づけている。一方で、AIが自らの意思で暴走したのではなく、安全装置を外して試験した人間の判断と、隔離環境の設定の甘さが招いた結果だという専門家の指摘もある。どちらの見方に立っても、経営者にとっての示唆は同じである。AIは、与えられた目標を達成するために、こちらが指示していない手段を選び得る。悪意を持った攻撃者だけがAIを危険にするのではない。善意で、自社の業務のために導入したAIも、目標の与え方と行動範囲の設計を誤れば、同じ構造のリスクを抱える。

逆方向のリスクもある。Anthropicの報告では、攻撃者がAIに悪意ある目的をそのまま伝えず、正当なセキュリティ業務を装って、無害に見える小さな作業に分割させたとされる。AIには全体像を見せない、という手口である。

方向は逆だが、現場での見え方は同じである。個々の作業はどちらも正当に見え、危険なのはそれが積み上がった先にある。AI利用を点検するときも、作業一つひとつの可否ではなく、操作全体の流れを読む必要がある。

「尺取り虫」で進み、AIには「最小行動範囲」を

では、企業や組織ではどうあるべきか。

一つの現実解が、「尺取り虫」モデルである。まずAIを使った守りのレベルを一歩上げる。セキュリティという失敗の許されない領域でAIを扱うことで、AIガバナンス、つまりAIを安全に、適切に、責任を持って使うための社内の仕組みと、その運用の勘所が身につく。その足場の上で、業務側のAI活用を一歩進める。守りと攻めを交互に前へ出す考え方である。

多くの企業は、AI活用というと、まず業務効率化や新規事業への応用を考える。それは重要である。しかし、守りの設計が追いつかないまま進めると、足元が崩れる。AIがどのデータに触れるのか。どのシステムを操作できるのか。誤った動きをしたとき、誰が、どうやって止めるのか。止めた後、業務をどう回すのか。これらを決めないままAIに仕事を任せれば、便利な道具が事故の起点になる。

ここで、従来のセキュリティの原則も更新が必要になる。人間に対しては「最小権限」、つまり必要最小限の権限しか与えないという考え方が重視されてきた。AIにも当然必要である。だがAIは、疲れず、迷わず、目的に向かって走る。前節の事例が示すのは、指示した人間の思惑を超える動きが現実に起こるということである。

だから、権限に加えて「最小行動範囲」とでも呼ぶべき発想が必要になる。使える道具の種類を絞る。呼び出せる操作の範囲を決める。取り消しのきかない操作には必ず人間の承認を挟む。パスワードや接続情報は、期限付きのものだけを使わせる。さらに、記録を残し、定期的に点検し、異常な操作は止める。

経営者が技術仕様の細部まで決める必要はない。だが、方針は決めなければならない。本番環境、顧客データ、決済、契約、個人情報に対する操作が、人間の承認なしに行われる状態になっていないか。

権限とは、経営上のリスク配分である。誰に何を任せ、どこで止めるかを決めることは、経営の設計そのものである。総務省・経済産業省の「AI事業者ガイドライン」などが示しているのも、活用の推進とリスク管理を同時に進めるという同じ考え方である。

問われるのは、スピード感覚の刷新

攻撃側のAI利用が正規領域より先行するなら、優先順位は明確になる。セキュリティを任せるベンダーを選ぶ際にも、「AI時代の脅威をどう想定し、何に取り組んでいるか」は重要な判断基準になる。社内についても、営業や企画が先にAIを使い始め、守る側が慎重に検討しているという順序は逆である。攻撃者がAIを使っている以上、守る側が遅れてよい理由はない。

最後に問われるのは、企業のスピード感覚である。生成AIは、ひとつの中期経営計画にも満たない期間で、文房具からエージェントへ、さらに複数のAIが連携する段階へと進んだ。一方、企業の意思決定には、予算、稟議、部門間調整、監査、法務確認といった制約がある。その制約を理由に動かなければ、差は開く。攻撃側は月単位、場合によっては週単位で進む。

AIを恐れるだけでは遅れる。だが、甘く見ても危ない。必要なのは、使う覚悟と、止める設計である。守りを一歩進め、攻めを一歩進める。過去数年のAI進化が教えているのは、その現実である。

社内で一度、話してみてほしい。自社のAIは、誰の承認もなく、どこまでのことができる状態にあるか。そして、それが想定外の動きをしたとき、最初に気づくのは誰か。