回避を目的として：AIによるサイバー攻撃の産業化

• AIは攻撃の経済構造を一変させた。かつては資金力のあるチームが必要だった攻撃キャンペーンの構築も、今ではたった一人のオペレーターでも実行可能になった。
• 攻撃者は今や、多くの防御体制が対応できるよう設計されているサイクルよりも速いペースで、戦術の検証、適応、切り替えを行うことができる。
• もはや標的は人間だけではありません。人間に代わってメールを読み取るAIシステム自体が、新たな攻撃対象となっているのです。
• 今日の防衛とは、継続的に改善される多層的な制御体制を意味し、AIや機械学習によってその学習速度が加速されています。

セキュリティ担当者の多くは、AIがサイバーリスクを変えつつあることをすでに認識しています。より難しい問題は、その変化が運用面でどのような意味を持つかということです。AIによって攻撃はより巧妙になっているのでしょうか？場合によってはそうです。しかし、より重要なのは、AIが実験にかかるコストを削減し、アイデアの考案からペイロードの作成、配信、そして反復に至るまでの時間を短縮しているという点です。これにより、攻撃の経済性が変化しているのです。

これは、私たちがすでに市場で目撃していることであり、顧客やパートナー、シンクタンクからも同様の声が寄せられています。米国、英国、カナダ、オーストラリア、ニュージーランドで構成される情報同盟「ファイブ・アイズ」によると、「最先端のAIモデルは、現在の業界の予想を上回り、サイバー攻撃能力と防御能力の両方を根本的に変革すると見込まれています。その実現までの期間は数年ではなく、数ヶ月です。」

もしこれが遠い未来の話だと思われるなら、私たちが急速にその方向へと向かっていることを示す、最近の統計をいくつかご紹介します：

• 現在、フィッシングメールの82.6％に何らかの形でAIが組み込まれている（KnowBe4）。
• AIなら、人間が16時間かけて作成するのに対し、わずか5分で説得力のあるフィッシングメールを作成することができる（IBM X-Force）。
• AIによって完全に自動化されたフィッシングメールのクリック率は54％であるのに対し、従来のキャンペーンでは12％にとどまっている（独立した調査による）。
• eCrimeの平均侵入時間は29分に短縮されており、観測された最速の事例では27秒でした。記録されているある侵入事例では、最初のアクセスから4分後にデータの持ち出しが始まりました（CrowdStrikeの『2026年グローバル脅威レポート』）。

これらの統計は、ほとんどのセキュリティガバナンスが対応できるよう設計されている速度を上回るスピードで変化している状況を浮き彫りにしており、これは最先端のAIモデルがより広く利用可能になる前の段階での話です。では、セキュリティの責任者はどのような点をこれまでとは異なる視点で捉えるべきなのでしょうか？その答えは、AIが攻撃そのものの経済性をどのように変えたかを理解することから始まります。

AIが登場する前は、防御体制の整った1つの組織に対して効率的なキャンペーンを展開するには、多大な投資が必要であり、時間、人材、インフラが求められていました。

今日では、熟練した攻撃者は攻撃の各段階を劇的に短縮することができます。かつては数日かかっていた偵察も、今では数時間あるいは数分で完了できるようになりました。フィッシングの餌作りにはかつては調査や労力が必要でしたが、今ではプロンプト一つで済みます。ステージング環境と多大な反復時間を必要としていたペイロードのテストも、その速度が桁違いに加速しています。

AIや機械学習によって攻撃手段が飛躍的に強化された結果、脅威の状況は攻撃者にとって格好の遊び場となってしまった。マイクロソフトは、この四半期を通じてハッカーたちが毎月配信手法をローテーションさせ、どの形式が電子メールの防御を最も効果的に回避できるかを試していたことを報告している：

• CAPTCHAによる認証を伴うフィッシング攻撃の配信方法としては、HTML添付ファイルが最も一般的でしたが（1月は37％）、2月にはSVGファイルの利用が49％急増し、その座を奪われました。
• 3月には、PDF添付ファイルの数が4倍以上に増え、DOC/DOCX形式のペイロードも5倍近く増加した。
• PDFに埋め込まれたQRコードは、最も急速に増加した感染経路となり、当四半期のQRコードを利用したフィッシング攻撃の70％を占めた。

1月にHTMLを検知するように調整された検知ルールは、3月にどのような攻撃が仕掛けられるかについて、ほとんど手がかりを与えてくれなかった。これは検知の失敗ではない。シグネチャが作成されるよりも速いペースでテスト、測定、手法の切り替えを行う攻撃者に対抗する上で、構造的に避けられない結果なのである。

AIが登場する前は、パーソナライゼーションには莫大なコストがかかっていました。しかし今では、そのコストはほぼゼロに近づいています。

かつて、受信トレイは「従業員」という主要な読者1人を中心に設計されていました。しかし、その状況は変わりつつあります。現在では、AIアシスタントがメールの内容を迅速に要約・分類し、それに基づいてアクションを起こすことが可能になっています。そこで問題となるのは、組織が、人間がメールを読む前、そして機械が処理する前に、その内容をチェックしているかどうかということです。

マイクロソフト自身のベンチマークデータによると、Defenderは悪意のあるメールの受信後、つまり受信トレイに届いた後に、平均70.8%を削除しています。その「滞留時間」の間、以下のことが起こります：

• ユーザーは、添付ファイルを開いたり、メッセージを転送したり、リンクをクリックしたりすることができます。
• AIアシスタントが内容を要約することができます。
• 副操縦士は、組み込まれた指示を処理することができます。

2025年6月、研究者らは、Microsoft 365 Copilotに存在するゼロクリック脆弱性「EchoLeak」を公表した。この脆弱性の深刻度はCVSSスコアで10点満点中9.3点と評価されている。 攻撃の手口は以下の通りです。攻撃者は、隠された指示を含む特別に細工されたメールを送信しました。受信者がCopilotに受信トレイの要約を依頼すると、AIは隠された指示を読み取り、それをコマンドとして解釈し、機密文書を外部サーバーへ密かに流出させました。人間は、AIアシスタントを本来の用途通りに使用したに過ぎませんでした。

これにより、電子メールに対する脅威モデルが、ほとんどのセキュリティアーキテクチャがまだ考慮していない形で変化することになります。AIは、人間が持つような懐疑心や文脈への配慮、直感を持たずにメールを読み取ります。また、大規模に読み取りを行い、より広範なデータにアクセスし、ユーザーから継承された権限を持ち、場合によっては「読み取り」をはるかに超えるアクションを実行する能力さえ備えています。

このセキュリティ上の課題には、もう一つの側面があります。 AIエージェントのメモリに関する研究によると、AIエージェントによって処理された巧妙に作成された文書は、エージェントの永続メモリに指令を埋め込むことが可能であることが 明らかになっています。この指令は半永久的に残存し、元のファイルとは全く関係のない将来のやり取りにおいて、気付かれないまま発動します。これはプロンプトインジェクションよりも一段階高度な脅威であり、「メモリポイズニング」と呼ばれています。

メールインフラ上でAIコパイロット、コーディングアシスタント、エージェント型ワークフローを運用している組織は、もともと防御に苦慮していた攻撃対象領域に、セキュリティ対策がほとんど施されていない第2の層を追加してしまった。そのほとんどは、この状況を考慮してメールセキュリティ体制を調整していない。

長年にわたり、多くのセキュリティプログラムは、年次レビュー、四半期ごとの調整、定期的な机上演習、予定されたポリシーの更新といったサイクルを通じて改善されてきました。そのリズムには依然として価値があります。しかし、それは、その速度や規模を瞬時に変化させることのできる攻撃に対応するようには設計されていませんでした。

その答えは「適応型防御」です。これは、脅威の進化に合わせて学習し、ブロックした攻撃の試み、誤検知、インシデントの検証のたびに改善されるセキュリティ層のことです。防御目的で活用される最先端のAIモデルは、検知から対応までの時間を短縮し、人間のアナリストでは必要なスピードで処理できないパターンを明らかにし、攻撃の変化のペースに即した制御策へと進化させるのに役立ちます。

その適応策では、受信トレイ内の「新たな読者」の存在も考慮に入れなければなりません。従業員には懐疑的な姿勢を指導することができますが、AIアシスタントは、適切な制限がない限り、処理した内容に基づいて行動してしまいます。メッセージや添付ファイルは、読者が人間であれ機械であれ、誰かがそれらにアクセスする前に、信頼できないものとして扱い、無害化する必要があります。

AIによる防御は、その強みである「迅速なトリアージ」「不審なファイルの早期特定」「シグナル間の相関分析の高度化」「脅威の検知から対応までの時間の短縮」を活かし、実用的なものでなければならない。

成功を収める組織とは、あらゆるインシデントを単なる「解決済みチケット」としてではなく、情報として扱える組織である。コンプライアンスの枠組みが追いつくのを待つことは、有効な防御戦略とは言えない。攻撃者はすでに、あらゆる攻撃の試みから学びを得ており、防御側も同様に、AIや機械学習を活用して電子メールの検査、検知、およびクリーンアップを行うようになっている。

特に重要インフラに関しては、規制だけでは定義しきれない追加的な責任が存在します。デジタル化が加速するにつれ、こうした組織の攻撃対象領域も拡大しています。セキュリティ戦略は、規制で定められた最低限の要件だけに基づいて構築することはできません。

「ファイブ・アイズ」の共同声明は、次のように明言している。「サイバーリスクはもはや、純粋に技術的な問題として扱うことはできない。これは中核的な事業リスクであり、経営陣の責任である」。また、その緊急性については、「今すぐ行動を起こす経営者は、リスクへの曝露を軽減し、回復力を強化し、顧客、パートナー、投資家からの信頼を築くことができる。一方、対応を遅らせる者は、回避可能なリスクが拡大していく事態に直面することになる」と述べている。

より強靭な体制を築くには、境界における多層的な防御、運用モデルにおけるAIを活用した適応、そして継続的な改善が標準的な慣行とならなければならないという認識から始める必要があります。重要なのは、防御体制が状況の変化に追いつくほど迅速に進化しているかどうかです。

これは、リスクが最も高い分野、すなわち重要インフラとその中核をなすエアギャップネットワークにおいて最も重要であり、次の記事ではその点から話を始めます。