AIが「自発的な攻撃を行う段階」に「完全に」達したのか
AIエージェントが休むことなく活動できる点を強調したのは、米国家安全保障局（NSA）でサイバーセキュリティー部門の責任者を務め、Joyce Cyberを創業したロブ・ジョイスだ。ジョイスはHugging Faceへの侵入事件と、自律型の侵入テスト用AIエージェントXBOWを例に挙げた。XBOWは2025年、数カ月で1000件を超える脆弱性を報告し、企業が脆弱性の報告を募り、発見者に報奨金を支払うためのプラットフォームHackerOneのランキングで首位に立った。「AIエージェントは休まずに活動する」とジョイスは言う。睡眠や食事が不要で、必要に応じて稼働数を増やせるため、非常に効果的だという。
米シンクタンクFoundation for Defense of Democraciesで上級研究員を務めるアニー・フィクスラーは、さらに重大な転換点が今後訪れるとみる。フィクスラーはCenter on Cyber and Technology Innovationのディレクターも務めている。AIが人間の操作者なしに行動し始めたことで、今後も人間が関与し続けるか判断を迫られているという。「現在、我々は人間の操作者の責任を少し軽く見すぎている」と指摘し、AIを制御する余地はまだあると語った。
ワシントンの英国大使館でサイバー政策を統括するアニー・プルーズは、異なる見方を示した。実際のサイバー攻撃で、AIモデルが人間の指示なしに完全に自発的に行動した例はまだ見ていないという。ただし、悪意ある攻撃者がAIを使い、攻撃の速度と規模を高めていることは認めた。被害を防ぐことは不可能だと、証拠もないまま決めつけるべきではないと警告した。
AIの攻撃に即応するため、封じ込めや修復の権限を事前に決める
AIを使う攻撃が機械の速度で進めば、防御側は対応のたびに人間の承認を待つ余裕がない。「対応のたびに人間の承認を必要とする方式では、大規模な攻撃に対応できない。それでも、人間は常に監督する立場で関わるべきだ」とイフサヌラーは述べた。
ジョイスが勧めるのは、サイバー攻撃を受ける前に、自動的に実行してよい対策を決めておくことだ。被害の広がりを止めるための「封じ込め」や、侵害されたシステムを修正する「修復」について、何を許可し、誰が実行する権限を持ち、どこまで自動化するかを事前に定める必要があるという。
問題の核心は、攻撃側と防御側で使える能力の規模が違ってきたことだとジョイスは説明する。大規模言語モデルを利用すれば、かつて情報機関が膨大な時間と労力をかけて集めていた脆弱性の知識を、攻撃者も得られる。ジョイスは従来から推奨されてきた多要素認証やネットワークの分離を徹底し、AIも防御に活用するよう求めた。「攻撃者が弱点を悪用する前に、AIエージェントによる侵入テストを行い、攻撃者から何が見えるのか確かめてほしい」と語った。
地方の水道事業者が直面する、基本対策への投資と人員の不足
プルーズは、従来の防御体制を理想的な基準として扱うことにも慎重だ。「現在の管理・監督の仕組みが十分かを論じるなら、以前の状況も決して理想的ではなかったと認識すべきだ」と述べた。サイバーセキュリティーの基本的な対策への投資が、長年不足してきたと指摘する。
投資不足の危険を示す例が、2026年7月に米国の少なくとも12州で発生した水道システムへのサイバー攻撃だ。米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は同時期、イランと関係する攻撃者による重要インフラへの侵害について警告していた。ジョイスは、重要インフラでは対処を先送りしてきた技術上の問題が積み重なり、最低限の安全対策すらない運営者が多いと説明した。フィクスラーは、安全対策を改善するための資金や人員を誰が確保できるかが難題で、地域の水道事業者には十分な資源がない場合が多いと指摘した。
