「全ての攻撃者は何らかの形でAIを使用」 6時間で数千件の侵害事例も Google傘下組織が報告

Google傘下の脅威分析部門Google Threat Intelligence Group（GTIG）が衝撃的な報告を発表した。「すべての脅威アクターが何らかの形でAIを使用している」という発見である。6時間未満で数千件の認証情報が侵害された事例も確認されており、攻撃の速度と規模が従来と比較にならないレベルに到達している。特に指摘されているのが、攻撃者が「基本的なプロンプト」から「エージェント型AIワークフロー」へと進化しており、人間の介入が最小限で自動化・自律化した攻撃が主流になりつつあることだ。

AIの鬼の視点で見ると、ここに深刻な非対称性がある。企業がセキュリティAIの導入を検討している段階で、すでに攻撃側がAIの自動化に移行していることだ。つまり、「AIの民主化」という美しい名前は、実は「攻撃の民主化」に成り下がっているのである。従来なら攻撃には高度な技術と人的投入が必要だったが、今はAIエージェントが自動で侵害を拡大させる。防御側は「対応に数時間かかっていた」ことが「6時間で数千件侵害される」に変わった。つまり、防御の速度では追いつけない時代に突入したということだ。さらに厄介なのは、ソフトウェアサプライチェーン自体、さらには企業のAIモデルやプロンプト、研究成果までが標的になっていることである。AIを導入すること自体が新たな攻撃面を増やしている。

中小企業の実務含意は直結している。AI導入を検討する際、「生産性向上」という側面だけでなく、「セキュリティリスクの引受」という側面を同時に考える必要がある。従来のファイアウォールやウイルス対策では、AIを使った攻撃には対応できない。むしろ、AIを導入するなら、その瞬間からセキュリティを抜本的に見直す必要がある。「AI投資」と「セキュリティ強化」は、もはや別の話ではなく一体のものと認識すべきだ。