英国AI安全保障研究所（AISI）が、企業ネットワークを模した専用サイバーレンジで、AIエージェントが多段階のサイバー攻撃をどこまで自力で進められるかを実測しました。32ステップ中の平均完遂数は1.7から9.8へ、最良の単一試行は22ステップ。攻撃の「熟練者の手数」が部分的に自動化され始めた、という一次データです。
何が測られたのか（対象・期間・条件）
AISIは、実在の企業システムではなく、評価のために構築した2種類のサイバーレンジ（purpose-built cyber ranges）を用意しました。ひとつは企業ネットワークを模した環境（全32ステップ）、もうひとつは産業用制御システム＝工場などの制御系を模した環境（全7ステップ）です。ここで、2024年8月から2026年2月までの18か月間にリリースされた7つのフロンティアモデルに、攻撃シナリオを段階的に実行させ、どこまで完遂できるかを数えています。
（出典：UK AI Security Institute（AISI）／英国AI安全保障研究所、2026-03-16、https://www.aisi.gov.uk/research/measuring-ai-agents-progress-on-multi-step-cyber-attack-scenarios）
| 項目 | 内容 |
|---|---|
| 実施主体 | UK AI Security Institute（AISI／英国AI安全保障研究所） |
| 公開日 | 2026-03-16 |
| 対象（n数） | 7つのフロンティアモデル |
| 対象期間 | 2024年8月〜2026年2月にリリースされたモデル |
| 評価環境1 | 企業ネットワーク型サイバーレンジ（全32ステップ） |
| 評価環境2 | 産業用制御システム型サイバーレンジ（全7ステップ） |
| 主条件 | トークン予算1,000万で固定（追加検証で1億まで拡大） |
一次資料の実測：1.7ステップから9.8ステップへ
数字はすべて、上記の条件下で読む必要があります。
- 1.7 → 9.8ステップ：企業ネットワーク型サイバーレンジにおける平均完遂ステップ数の推移。分母は32ステップ、トークン予算1,000万で固定した条件。GPT-4o（2024年8月）が1.7、Opus 4.6（2026年2月）が9.8。18か月間の7モデルの比較です。
- 22／32ステップ：最良の単一試行（best single run）が完遂したステップ数。平均ではありません。AISIはこれを、人間の専門家が要すると推定される14時間のうち約6時間相当と換算しています。
- 最大59%改善：推論時の計算量を増やしたときの性能向上幅の上限値。トークン予算を1,000万から1億へ増やした場合の結果です。AISIは、性能が推論時計算量に対して対数線形にスケールし、プラトー（頭打ち）は観測されていないと記述しています。
- 平均1.2〜1.4ステップ（最大3）：産業用制御システム型サイバーレンジでの完遂ステップ数。分母は7ステップ。これは直近の最新モデルに限った値で、AISIはこれらを「初めて安定してステップを完遂したモデル」と表現しています。旧世代モデルはさらに低い水準です。
ここで重要なのは、企業ネットワーク環境（32ステップ）と産業用制御システム環境（7ステップ）は分母が異なるため、9.8/32と1.2〜1.4/7を直接比較できないことです。片方が「約31%」で片方が「約17〜20%」だから近い、という読み方はできません。シナリオの難易度も内容も別物です。言えるのは、環境ごとの傾向が明確に違う、という点だけです。
この記事の数字の出どころについて
読者が判断できるように書いておきます。この記事は、AISIが自ら構築した評価手法とサイバーレンジで、自ら測定した結果の発表を扱っています。AISIは英国政府のAI安全性評価機関であり、AIリスク評価の必要性を主張する立場にあります。つまり、自らが構築した評価手法・サイバーレンジの有効性を示す文脈での公表です。第三者による再現や検証を経た数字ではありません。
さらに、ウェブ掲載版の本文には、手法上の限界、結果の一般化可能性、エリシテーション（モデルの能力を引き出す手法）の条件、そして今回の数値が下限値なのかどうかについて、明示的な記述が見当たりませんでした。詳細な限界の議論を確認したい場合は、arXiv掲載のフルペーパー（arxiv.org/abs/2603.11214）にあたる必要があります。
不都合な点をまとめておきます。
- 測定対象は実在の企業ネットワークではなく、評価用に作られた専用サイバーレンジ2種。実環境での攻撃成功率を測ったものではありません。
- 評価対象は7つのフロンティアモデルのみ。市販モデルやオープンウェイトモデルを含む全体の実態ではありません。
- 「人間専門家で14時間」という基準は、本文でも「推定（estimated）」であり、実測値ではありません。22ステップ＝約6時間相当という換算も、この推定の上に乗っています。
読者への意味：狙われない前提が崩れる
中小企業の防御設計は、多くの場合「うちみたいな小さい会社に、わざわざ人手をかけて侵入してくる攻撃者はいない」という前提の上に立っています。標的型の多段階攻撃には熟練者の時間が要る、だから割に合わない標的は後回しになる。この前提は、これまでは経験則としてある程度機能してきました。
今回の数字が示すのは、その熟練者の手数の一部が、モデルの世代交代とともに自動化され始めているということです。18か月で平均1.7→9.8、単一試行で22/32、しかも推論時計算量を10倍にすれば最大59%改善し、頭打ちは見えていない。攻撃側から見れば、1件あたりに人間の熟練者を張り付けるコストが下がる方向に働きます。コストが下がれば、標的を選別する基準も下がります。「割に合わないから狙われない」という守り方の根拠が、静かに薄くなっていく。
一方で、製造業の方には別の読み方があります。産業用制御システム環境では7ステップ中平均1.2〜1.4、最大3。最新モデルでようやく安定してステップを踏み始めた段階です。工場の制御系は、少なくともこの評価の範囲では、まだ自動化された攻撃の主戦場ではありません。
したがって当面の優先度は、制御系の全面的な対策よりも、情報系ネットワークの基本防御の底上げに置くのが妥当だ、という判断材料になります。具体的には、Active Directory、端末、VPN、そして認証情報の管理です。多段階攻撃の初期ステップは、たいていここから始まります。日本国内の侵入経路の傾向についてはマンディアントのM-Trends 2026レポートやJPCERT/CCの四半期報告もあわせて見ると、優先順位を組み立てやすくなります。
TOEの読み筋：まず「棚卸し」から
はじめに明記します。TOEでは、このAISIの評価手法を用いた検証は未実施です。 以下は一次資料の数字と、日常の実務から見た読み筋であり、当社の実測に基づく主張ではありません。
そのうえで、この数字を受けて中小企業がやるべきことは、新しいセキュリティ製品を買うことではないと考えています。多段階攻撃の32ステップのうち、序盤の数ステップは「使われていないVPNアカウントが残っている」「退職者のIDが生きている」「管理者権限が必要以上に配られている」といった、製品ではなく運用の穴を通ります。AIエージェントが自動化しつつあるのは、まさにその穴を機械的に探して踏んでいく作業です。
つまり効くのは、次のような地味な棚卸しです。
- 現在有効なアカウント一覧を出し、使われていないものを止める
- 管理者権限を持つアカウントを数え、その数を減らす
- 外部から接続できる入口（VPN、リモートデスクトップ、公開サーバー）を列挙し、必要なものだけに絞る
- 多要素認証が入っていない入口を特定する
- これらを誰が何か月ごとに見直すか、担当と頻度を決める
いずれも新規投資をほとんど伴いません。中小企業のセキュリティ実態についてはIPAの中小企業実態調査にデータがあり、そこで示されている「体制がない」「担当が兼務」という状況は、この棚卸しを一度もやっていない企業が相当数あることを意味します。
もうひとつ。今回の結果を「AIが危険だから使うのをやめよう」と読むのは、判断としてずれています。測られたのは攻撃側の自動化速度であって、AI活用の是非ではありません。同じ推論時計算量のスケーリングは、防御側のログ分析や異常検知にも同じように効きます。止めるべきは無防備な運用であって、AIの利用そのものではありません。
この数字をどう扱うべきでないか
最後に、扱い方の注意を書いておきます。
第一に、「9.8ステップ完遂したから、AIが企業に侵入できる」とは言えません。測ったのはサイバーレンジであって実環境ではなく、実環境での攻撃成功率は別の話です。第二に、「22ステップ＝6時間分を自動化」という数字は単一試行の最良値であり、平均ではありません。第三に、この評価は7モデルのみを対象としており、世の中のAIモデル全体の傾向を示すものではありません。
数字を根拠に社内で予算を通そうとするなら、この3点をセットで説明できる状態にしてから持っていくべきです。都合のいい部分だけを切り取って提示すると、後で「話が違う」となり、次の提案が通らなくなります。
まとめ
- AISIは、企業ネットワーク型（32ステップ）と産業用制御システム型（7ステップ）の専用サイバーレンジで、2024年8月〜2026年2月にリリースされた7つのフロンティアモデルの攻撃遂行能力を測定した
- 企業ネットワーク環境では、トークン予算1,000万の条件下で平均完遂ステップ数が1.7（GPT-4o／2024年8月）から9.8（Opus 4.6／2026年2月）へ推移し、最良の単一試行は22／32ステップに到達した
- 産業用制御システム環境では最新モデルでも7ステップ中平均1.2〜1.4（最大3）にとどまり、両環境は分母が異なるため直接比較はできない
- 測定対象は専用サイバーレンジであり実環境の成功率ではないこと、人間専門家の14時間は推定値であること、ウェブ掲載版に手法上の限界の明示的記述が見当たらないことは、数字と同時に把握しておく必要がある
- TOEでは同手法での検証は未実施。中小企業の当面の打ち手は制御系の全面対策ではなく、情報系（AD・端末・VPN・認証情報）の棚卸しと基本防御の底上げに置くのが妥当と考えている