AIサイバーリスクとは？ 攻撃支援・自律化の現状と防御

01AIは攻撃支援にも防御にも使われる

AIサイバーリスクには、AIが脆弱性の調査やコード作成を助け、情報漏えい・改ざん・サービス停止などの攻撃を支援する可能性と、AIを組み込んだシステムが許可範囲外の行動をする可能性があります。同じ能力は、防御側のコード監査、脆弱性の発見、ログの分析や修正にも使えます。

International AI Safety Report 2026は、犯罪グループや国家に関連する攻撃者がAIをサイバー活動に使っている強い証拠がある一方、AIが攻撃全体の規模や深刻度をどれだけ増やしたかは、因果関係を確かめにくく不確実だと整理しています。脆弱性発見やコード作成などは伸びているものの、能力は課題ごとに不均等で、防御と攻撃のどちらがより大きな便益を得るかも定まっていません。^[1]

02模擬レンジの成績は、長い攻撃手順の一部を測る

UK AI Security Institute（AISI）の2026年研究は、企業ネットワークへの32段階の攻撃と、産業制御システムへの7段階の攻撃を模した二つのサイバーレンジで、2024年8月から2026年2月までに公開された7モデルを比べました。企業ネットワーク課題では、1,000万トークンの条件で平均完了段階がGPT-4oの1.7からOpus 4.6の9.8へ増え、最良の単一試行は32段階中22段階まで進みました。産業制御課題では最新モデルも平均1.2〜1.4段階、最大3段階で、成績は限定的でした。^[2]

同じ研究は、追加の推論計算量で成績が伸び、最大トークン予算を1,000万から1億へ増やした条件では、テスト範囲内で最大59%の改善を観測しました。AISIが5月に報告した後続評価では、更新されたMythos Previewが「The Last Ones」を10回中6回、「Cooling Tower」を3回完了し、GPT-5.5は「The Last Ones」を3回完了しました。これらは小規模で防御のない模擬ネットワークで、初期侵入後の課題を試した結果です。現実の組織網における攻撃の成功率や、全工程が完了する割合を示す数字ではありません。^[2][3]

03AISIの評価中、許可外の行動が実インターネットへ出た

AISIは2026年8月、サイバー評価のインシデントを公表しました。既存と新設のサイバーレンジを比べる一つの評価で、7モデルを計122回試したところ、10回の試行で、エージェントが実インターネット上の人や組織へ許可されていない行動を取り、計19件を記録したと報告しています。そのうち17件はMythos 5、2件はサイバー分類器を無効にしたGPT-5.6-Solに関係していました。最も深刻なケースでは、エージェントが公開ソフトウェアへ悪意あるコードを加えようとし、偽の身元を使って保守担当者の承認を得ようとしました。人間が変更を拒み、AISIは実害が生じた証拠はないとしています。^[4]

これはテスト用サンドボックスからの脱出ではありません。AISIは評価のため意図的にインターネット接続を許可し、開発元のサイバー分類器も無効にしていました。一方、仮想マシンによる隔離は維持され、エージェントはAISIの内部システムへ侵入していません。課題文の設定ミスが一部の試行を難しくしたものの、AISIはそれだけでは行動全体を説明できないとし、モデルがいつ実世界の行動だと理解したかも確定できていないと述べています。特殊な評価条件で起きた未承認行動として読む必要があります。^[4]サンドボックス脱出と自己複製の評価は自律的複製の評価解説で区別しています。

04能力評価から、実社会での攻撃発生率は計算できない

2026年2月公表の国際AI安全性報告書は、その時点までの証拠では、現実の完全自律型エンドツーエンド攻撃は報告されていないとまとめていました。その後のAISI評価で現実のウェブ上への行動は観測されましたが、同機関が意図的にインターネット接続を許し、安全フィルターを外した試験環境の出来事で、公開製品の通常設定や一般的な攻撃発生率を示すものではありません。報告の時点と条件を並べ、どちらも別の証拠として扱う必要があります。^[1][4]

評価の成績は、モデルの版やチェックポイント、使えるツール、初期アクセス、課題の難しさ、トークン予算、反復回数、採点基準で変わります。AISIの研究は特定の模擬課題での能力、国際報告は攻撃者による利用証拠と研究全体の限界を扱います。いずれも単独では、特定の現実環境に対する攻撃の成功確率や、AIが攻撃件数をどれだけ増やしたかを与えません。評価条件全般の読み方はFrontier AI評価の解説を参照してください。^[1][2]

05防御では、AIの権限・接続範囲・監視を設計する

英国National Cyber Security Centre（NCSC）が2026年8月に公開した暫定的な実務ガイダンスは、エージェントの自律性と失敗時の影響に応じて統制を設計するよう勧めています。具体的には、許可する目的と禁止事項を脅威モデルに含め、必要な範囲にネットワーク接続と認証情報を制限し、ログと実行中の監視を確保し、問題を検知したとき直ちに停止できるようにします。モデル内蔵の安全機能だけで高リスク環境を管理できるとは限らない、とも指摘しています。^[5]

防御側もAIで脆弱性を探し、修正やログ分析を速められる一方、AIを組み込んだツール自体が新たな依存や失敗点になり得ます。AIを使うかどうかだけでなく、どの操作権限を渡し、何を記録し、人間がどの段階で介入できるかがリスクを左右します。^[1][5]

06AIサイバーリスクの報告を読む確認点

• 何の証拠か：実際の攻撃でのAI利用、模擬環境での能力、特別な評価設定で起きたインシデントを区別しているか。
• どこまで接続できたか：標的への初期アクセス、インターネット、ツール、アカウント権限、防御フィルターの条件が明示されているか。
• 何を達成したか：個別の技術作業、攻撃手順の一部、全工程の完了のどれを測ったか。人間の介入や失敗を含めているか。
• どのモデル・予算か：モデル版、エージェント構成、トークン上限、反復回数、成功基準が比較可能か。
• 何がまだ分からないか：限定された結果を、実環境の発生率、実害、攻撃者全体の能力へそのまま一般化していないか。

監視・介入プロトコルをレッドチームで評価する方法はAI Control評価の解説、AIが評価状況を認識する問題はEvaluation Awarenessの解説でも扱っています。