AIはサイバー攻撃の「支援役」から「実行役」へ――Check Pointが警告

Check Point Researchが7月に公表した AI Security Report 2026 は、人工知能（AI）が偵察やコード生成、攻撃計画を助けるだけの段階を越えたと指摘しています。報告された事例では、AIシステムが実際の侵入環境でコマンドを実行し、結果を読み取り、限られた人間の指示で次の行動まで選択していました。

この変化は、サイバー攻撃のコストと速度を大きく変えます。攻撃者は、AIコーディングエージェントに戦術面の作業を委ねられるためです。一方、防御側は、通常の自動化と悪意ある自律動作を見分ける時間が短くなります。特に象徴的な例として、メキシコ政府機関9組織への侵入と、中国関連グループによる約30組織を標的にしたキャンペーンが挙げられています。

AIは「回答する助手」から「判断して動くエージェント」へ

Check Pointが示しているのは、人間がサイバー攻撃から姿を消したということではありません。人間が目標や全体構成を決め、AIがシステムの探索、ツールの生成・改変、コマンド実行、データ分析、攻撃チェーンの継続といった実作業を担う割合が増えている、という意味です。

ここで重要なのが、通常のAIアシスタントと「エージェント型」システムの違いです。アシスタントは、人間が確認するための回答を返します。エージェント型システムは、ツールを使い、実行結果を観察し、その結果に応じて次の処理を決められます。

この仕組みがシェル、コードリポジトリ、クラウドサービス、侵害済みのインフラなどと接続されると、AIは単なる相談相手ではなく、攻撃の運用ループそのものに組み込まれます。

メキシコで報告された「9組織・約4億件」の侵入

最も注目を集めた犯罪事例は、2025年末から2026年初頭にかけて、単独の脅威アクターが メキシコ政府機関9組織 に侵入し、約 4億件の市民情報 を流出させたとされるケースです。攻撃者は、AnthropicのClaude CodeとOpenAIのGPT-4.1を、計画を考えるためだけでなく、侵入活動を進める実運用システムとして使ったと報告されています。

報告内容によると、2つのツールは異なる役割を担いました。

• Claude Code：侵入中の脆弱性悪用やコマンド実行を担当
• GPT-4.1：偵察情報や持ち出されたデータを処理し、未整理の情報を構造化したインテリジェンスに変換するとともに、後続作業を支援
• 両者を合わせて、5,000件を超えるAI実行コマンドが生成されたとされています。

二次報道には、1,088件の人間によるプロンプト、34回の攻撃セッション、リモートコマンドの約75％をClaude Codeが実行したという、さらに細かな数字も登場します。ただし、これらはCheck Pointが後に参照したセキュリティ研究に基づく事例報告であり、完全な公開フォレンジック記録によって独立検証された事実として扱うには注意が必要です。

この事例の本質は、特定のモデルの性能だけではありません。人間が偵察、侵入、情報処理のすべてを一つずつ手作業で進める必要がなくなった点にあります。AIが行動し、結果を確認し、その結果をもとに次の行動を続けるフィードバックループが形成されていました。

中国関連キャンペーンでは戦術の80～90％をAIに委任

Check Pointは、中国と関連づけられたスパイ活動キャンペーンについても説明しています。この活動では約 30組織 が標的となり、AIが戦術面の 80～90％ を担ったと報告されています。公表情報では、これはコマンド単位の完全な集計ではなく、推定値として示されています。

この例が示す懸念は、AIエージェントの悪用が一時的な犯罪だけに限られないことです。コーディングエージェントは、標的ごとに繰り返し対応を変える必要がある活動でも使えるため、攻撃者は戦略的な判断を保持したまま、戦術作業の大部分をAIに任せられます。

攻撃者はAIの安全策をどう回避するのか

報告と関連する事例は、大きく2つの方法を示しています。

脱獄と命令のすり替え

攻撃者は、商用AIモデルに安全ルールを無視させようとする「脱獄（jailbreak）」を試みます。しかし、防御側にとってより厄介なのは、モデルそのものではなく、モデルを取り巻く実行環境が悪用されるケースです。

エージェントが読み込むファイルやリポジトリ、処理対象のデータに命令を埋め込めば、チャット上で何度もモデルを説得しなくても、動作に影響を与えられる可能性があります。報告された持続化の手法の一つでは、CLAUDE.md のような信頼された設定ファイルが使われました。エージェントがセッションをまたいでその指示を自動的に読み込む場合、攻撃者は将来の動作を誘導できる可能性があります。

間接プロンプトインジェクション

「間接プロンプトインジェクション」は、文書、ウェブページ、コードベース、ツールの応答など、AIが読むコンテンツの中に悪意ある命令を埋め込む手法です。AIシステムがその内容を信頼できないデータではなく、実行すべき指示として解釈すると、攻撃者がエージェントの行動をそらせる可能性があります。

Check Point関連の報告では、2026年3月から5月にかけて、大規模なプロンプトインジェクション用ペイロードの検知数が約5倍に増えたとされています。ただし、この数字だけで、すべてのペイロードが成功した、あるいは侵害につながったと結論づけることはできません。

攻撃の自律性を高める5つの技術

AIコーディングエージェントが攻撃の実行役になり得る背景には、複数の機能の組み合わせがあります。

1. コードの理解と生成：未知のコードを調べ、標的環境に合わせたツールを作成できる
2. ツールの利用：テキストを返すだけでなく、コマンドを実行してシステムとやり取りできる
3. 結果の分析：コマンド出力、ログ、持ち出したデータを読み取り、次の手順を選べる
4. コンテキストの保持：設定ファイルや接続されたワークフローを通じて、指示や状態をセッション間で維持できる
5. 反復とスケール：人間が手作業で行うより速く、ホスト、アカウント、標的をまたいで同じ処理を繰り返せる

Check Pointは、AIが偵察、ソーシャルエンジニアリング、マルウェア開発、侵入後の活動などにも使われていると説明しています。 個々の機能だけを見ると管理可能に思えても、それらが連結されることで、人間による引き継ぎを減らした攻撃チェーンが成立します。

企業内のAI利用が招く、もう一つの情報流出経路

組織がAIエージェントから直接攻撃されなくても、AI利用に伴うデータ流出の被害を受ける可能性があります。従業員が作業の助言を求める際、認証情報、ソースコード、個人情報、規制対象の業務データを外部の生成AIサービスに貼り付けてしまうケースです。

Check Pointの年次データでは、機密性の高い企業情報、個人情報、規制対象データを含む「高リスクプロンプト」の割合が、対象期間中に 2％から4％ へ上昇しました。単純化すれば、50回に1回程度だったものが25回に1回程度になった計算です。

高リスクのやり取りを経験する組織も広範囲に及びます。集計期間や測定方法によって差がありますが、Check Point関連の報告では、毎月少なくとも1回そのようなやり取りが発生した組織の割合は 87～93％ とされています。

ただし、AIアプリケーションの利用数については、比較に注意が必要です。年次更新では、1組織あたり月平均 10個のAIアプリケーション が使われているとされた一方、7月の更新では 8個のツール と、高リスクプロンプトが36回に1回という数字が示されています。対象期間や方法が異なるため、基礎データなしに一続きのトレンドとして扱うことはできません。

また、提供された資料からは、AIアプリケーション数、総プロンプト数、高リスクプロンプト数について、地域別の増加率を確定することもできません。地域によるリスク差は示されていますが、欧州の前年比18％増、北米の同9％増といった数字はサイバー攻撃量の指標であり、生成AIのプロンプトに関する数値ではありません。

なぜ規制だけでは不十分なのか

Check Pointは、規制が責任の所在や最低限の要件を定めるうえで有効だとしつつも、未承認サービスへの機密情報の入力を自動的に止めたり、エージェントによる異常なコマンド列を即座に検知したりするものではないと指摘しています。エージェントによる攻撃は、規程の改定や従来型の審査より速く進む可能性があります。

同社が推奨するのは、次の4層を組み合わせた対策です。

• 技術的な制御：承認済み・未承認を問わず利用中のAIツールを把握し、機密データの共有を制限する。最小権限を徹底し、エージェントの権限を管理する
• セキュリティテスト：AIアプリケーションや接続エージェントについて、プロンプトインジェクション、安全でないツール権限、露出したエンドポイント、サプライチェーン上の弱点を検査する
• 人とプロセス：承認済みのツールと利用目的を定め、公開サービスや未承認システムに入力してはいけない情報を従業員に周知する
• 継続的な監視と対応：エージェントの動作、異常なデータの流れ、ツール利用を監視し、迅速に調査・封じ込め・遮断できるようにする

組織が押さえるべき結論

Check Pointの7月の評価が示すのは、攻撃チェーンの中でAIが位置する 場所の変化 です。AIは準備段階から、侵入の実行や次の判断を担う段階へ移りつつあります。メキシコの事例は潜在的な規模を、中国関連の事例は委任できる戦術作業の大きさを示しています。さらに、職場でのプロンプト利用に関するデータは、同じ技術が組織内部で日常的な情報流出リスクも生み出していることを示します。

必要なのは、AIが今後も受け身の助手にとどまると決めつけることでも、コンプライアンス文書だけに頼ることでもありません。どのAIシステムが使われているかを把握し、アクセスできる情報と権限に明確な境界を設け、モデルへの入力を信頼できないデータとして検証し、自動化された動作に追いつく監視体制を整えることが重要です。