Google警告：攻撃者はAIの「単発プロンプト」からエージェント型攻撃ワークフローへ

Google Threat Intelligence Group（GTIG）が公表した「AI Threat Tracker」2026年第3四半期版は、攻撃者によるAI悪用が新たな段階に入ったことを示している。焦点は、メール文面の作成やコードの補助といった単発作業から、複数の作業を連携させるエージェント型ワークフローへの移行だ。

GTIGによれば、AIエージェントは侵入の一部で人による確認・操作の待ち時間を減らし、防御側が異常を見つけ、調査し、止めるまでの時間を圧縮しうる。ただし、実在の標的に対する完全自律型の攻撃パイプラインは、現時点で確認されていない。 25

「AIに手伝わせる」段階から、工程をつなぐ段階へ

従来のAI悪用は、標的の情報収集、フィッシングメールの下書き、コードの作成・修正、翻訳など、個別のタスクを補助させる形が中心だった。GTIGは2026年9月の更新で、より高度な攻撃者が、複数の工程をAIに担わせるワークフローや、AIを用いた自動化へ進んでいると報告している。 25

重要なのは、単にAIがスクリプトを書くことではない。偵察、脆弱性スキャン、認証情報の収集、作業中のエラー対応、その後の活動といった工程を連結できれば、攻撃は各段階の間で素早く進む。人間の介入が減るほど、セキュリティチームに残される対応猶予も短くなる。 25

金銭目的の犯罪者、6時間未満で大規模な認証情報窃取

追跡レポートの具体例として、金銭的利益を目的とするある攻撃者は、マルチエージェント・フレームワークを使い、6時間未満で大規模な認証情報窃取作戦を構築して開始したとされる。エージェントは、スキャン、認証情報の収集、トラブルシューティングなどの自動化を支援した。 212

これは、犯罪者がAIで一つのツールを作ったというだけの話ではない。作戦中に起きる日常的な技術的問題にも対応しながら、攻撃の進行を維持する役割をAIエージェントが補助し得ることを示す。攻撃を調整するための手作業が減れば、少人数でも大規模な活動を運用しやすくなる。

国家関与が疑われる集団も、侵入の全工程でAIを利用

GTIGは、国家と関係があるとされる攻撃者が、初期段階の調査や標的情報の収集から、侵入中の技術的な問題解決まで、幅広い用途でAIを利用していると報告した。

中国と関連があるとされるサイバースパイ集団「BASINCASTLE」は、大規模言語モデル（LLM）を、調査や標的情報の収集、侵入時の問題解決に使っていたとされる。 1

また、別の中国関連とされる集団は、Geminiを使って自動化されたペネトレーションテスト用フレームワークを構築しようと試みた。これは、エージェント型AIに侵入の初期段階を自律的に実行させることを意図したものだという。 1

AIは破壊的な行為の直前だけで役立つわけではない。調査を高速化し、技術的な試行錯誤の負担を下げ、作戦の途中で攻撃者が状況へ適応することも助ける。

フィッシングとなりすましは、依然として最大級の懸念

生成AIが最も広範に影響するのは、まったく新しい攻撃手法よりも、人を狙う既存の手口かもしれない。AIはフィッシングやソーシャルエンジニアリング用の素材を、より速く、受信者に合わせて、しかも多言語・多地域向けに自然な形で作ることを可能にする。GTIGは以前から、攻撃者による情報収集、非常にリアルなフィッシング詐欺、マルウェア開発へのAI利用を確認している。 11

なりすましや影響工作も同様だ。AI支援のコンテンツは、もっともらしい口実、偽のオンライン人格、規模を拡大した欺瞞的メッセージの作成を支えうる。第3四半期の調査結果を伝えた報道では、イランの国家支援を受ける集団が、フィッシングや偽の身元の作成などにGeminiを利用していたとされる。これは、AIがサイバー作戦と影響工作の双方を強化し得る例だ。 4

組織にとっての実務上の教訓は明快である。文章が巧みなメールや文書、あるいは音声による依頼であっても、それだけで正当性の根拠にはならない。

完全自律型の攻撃は、まだ「実地確認」されていない

GTIGの評価を、「攻撃者がすでに完全自律型の攻撃システムを現実の標的へ投入している」と読むべきではない。GTIGは、実在の標的に対して完全自律型パイプラインを展開した攻撃者を、まだ観測していないと明言している。 2

レポートが記録しているのは、自律化へ向かう進展だ。エージェントはすでに相当数の下位タスクを支援し、攻撃ワークフローの一部を接続できる。一方で、目標設定や重大な判断は、依然として人間が主導しているとみられる。短期的な課題は「AIだけで動く万能ハッカー」ではなく、既存の攻撃がより速く、低コストになり、調査・判定が間に合いにくくなることだ。 25

防御側が優先すべきこと

今回の追跡レポートが示すのは、高度な手口だけでなく、攻撃の速度にも備える必要性である。

• IDを狙う攻撃を最優先リスクとして扱う。 フィッシング耐性のある認証を強化し、不自然な認証情報の利用を監視する。
• 検知から封じ込めまでを短縮する。 エージェント支援の作戦は、探索、侵入、情報収集の工程を短時間で移る可能性がある。
• 高リスクな依頼は別経路で確認する。 振込先変更、認証情報の要求、機密ファイルの共有指示は、メールや文書の見た目だけを信用しない。
• AI資産と開発ワークフローも守る。 GTIGは、AI関連の知的財産、AI利用者、AIシステム、サプライチェーンの弱点が攻撃対象になっていると指摘する。 15

Googleの2026年Q3レポートが発するメッセージは、冷静だが緊急性を帯びている。完全自律型のサイバー攻撃は観測済みの現実ではない。しかしAIはすでに、犯罪者や国家関与が疑われる集団にとって、見慣れた手口をより連携させ、拡張しやすい作戦へ変える手段になっている。 25