AIがネットワークをハッキング可能に：最新研究が明かす脅威
AI主導サイバー戦争の幕開け
カーネギーメロン大学とAnthropicによる最新の研究は、大規模言語モデル（LLM）が自律的に高度な多段階ネットワーク攻撃を実行し、最小限の人間の介入でエンタープライズ環境を侵害できることを示しています。この進展は、組織がサイバーセキュリティに取り組む方法を根本的に変えています。
従来、複雑なサイバー攻撃には、ネットワークを綿密に調査し、脆弱性を特定し、慎重に攻撃戦略を実行する熟練した人間のオペレーターが必要でした。しかし、この状況は変わりつつあります。現在のAIモデルは、適切なツールと組み合わせることで、人間の攻撃能力に匹敵するかそれ以上の成果を継続的に発揮し、疲労や人間特有の制約に左右されません。
自社のセキュリティは万全だと信じていますか。 本当に証明できますか？
こうした機能が容易に利用できるようになったことで、新たな課題が生まれています。以前は多段階ネットワーク侵害の実行には豊富な経験と高度な技術が不可欠でした。しかし、今回の研究では、Incalmoと呼ばれる抽象化ツールを備えたLLMが、テスト環境で48%から100%の攻撃成功率を達成したことが明らかとなり、セキュリティ専門家にとって緊急の対応が求められる結果となっています。
この変化により、組織はセキュリティ戦略の見直しを迫られています。従来の人間のペースに合わせた防御策では、継続的かつ動的に適応し、人間の制約を受けずに複雑な攻撃シーケンスを実行するAI主導の脅威には対応しきれません。
研究の理解：AIが攻撃者となる時
研究の範囲と手法
カーネギーメロン大学とAnthropicの共同研究は、LLMの攻撃能力に関する最も包括的な評価の一つです。研究者は、GPT-4、Claude、GoogleのGeminiファミリーなどの主要AIモデルを、実際のエンタープライズアーキテクチャを模した10の精巧なネットワーク環境でテストしました。
テスト環境は25〜50台のホストで構成され、Equifax事件やColonial Pipeline攻撃など、実際の侵害事例を基にしたシナリオも含まれています。各環境には現実的なネットワークトポロジー、脆弱なサービス、一般的なエンタープライズの設定ミスが組み込まれていました。目的は明確で、通常は熟練した人間のオペレーターが必要とする複雑な多段階攻撃を、AIが自律的に実行できるかどうかを検証することでした。
主なポイント
-
AIは今やエンタープライズネットワークを自律的にハッキング可能
カーネギーメロン大学とAnthropicの研究により、LLMが適切なツールを用いることで、最大100%の成功率で高度な多段階ネットワーク攻撃を実行できることが証明されました。これは理論ではなく、誰でもアクセス可能な公開AIモデルで現実に起きていることです。
-
抽象化レイヤーがすべてを変えた
LLMは当初ハッキングに失敗（成功率30%未満）していましたが、Incalmoという高レベルの概念を技術コマンドに変換するツールの導入により、10環境中9つのネットワーク侵害に成功しました。AIは深い技術知識がなくても、適切な変換ツールさえあれば強力な攻撃者となり得ることを示しています。
-
AI攻撃者は人間とは根本的に異なる動作をする
AIハッカーは24時間365日疲れ知らずで、発見したすべての脆弱性を体系的に悪用し、数百の攻撃ベクトルを同時に調査しながら、すべての情報を完全に記憶します。テストでは、AIが単一の認証情報でネットワーク内の48のデータベースすべてにアクセスし、人間には不可能な徹底ぶりを示しました。
-
従来のセキュリティ対策ではAI攻撃を阻止できない
シグネチャベースの検知はAIの動的な攻撃パターンには通用せず、人間のスピードでのセキュリティ運用では、数分で実行されるマシンスピードの攻撃に対応できません。断片化されたセキュリティツールは可視性のギャップを生み、AIはそこを突きます。一方、人間のアナリストはシステム間のアラートを相関させるのに苦労します。
-
AI活用型防御は今や必須
組織は、行動異常の検知、マシンスピードでの対応、統合的な可視性を実現するAI強化型セキュリティプラットフォームを導入する必要があります。Kiteworksのプライベートデータネットワークのようなソリューションは、攻撃を危険にするAIの特性（スピード、持続性、適応性）を防御の強みに変えることができることを示しています。
初期調査結果：LLMは直接攻撃で苦戦
初期の結果は一見有望に見えました。コマンドラインへの直接アクセス権を与え、ネットワーク侵害を指示しても、先進的なLLMでさえ成果は芳しくありませんでした。すべてのテスト環境で、支援なしのLLMは攻撃グラフ状態の1%〜30%しか達成できず、実質的に意味のある攻撃を実行できませんでした。
研究者は主に2つの失敗パターンを特定しました。第一に、LLMは無関係なコマンドを大量に生成し、試行の28%〜81%が有効な攻撃経路とは無関係でした。存在しないサービスへの総当たり認証や、実在しないシステムの脆弱性悪用を試みていました。
第二に、LLMが正しい攻撃ベクトルを特定しても、実装が困難でした。関連コマンドの9%〜32%にはエラーが含まれ、無効化されていました。例えば、脆弱性スキャンの必要性を認識しても、コマンド構築を誤り、ターゲットを外したり無効なパラメータを使用したりしていました。
ゲームチェンジャー：Incalmo抽象化レイヤー
LLMとターゲット環境の間に高レベルの抽象化レイヤーであるIncalmoを導入したことで、結果は劇的に変化しました。LLMが低レベルのシェルコマンドを生成する必要がなくなり、「ネットワークをスキャン」「ホストへ横移動」「データを持ち出す」といった高レベルのタスクで動作できるようになりました。
この抽象化レイヤーは、以下の3つの統合コンポーネントで構成されています：
- 高レベルの意図を正しい形式のコマンドに変換するアクションプランナー
- LLMが目的に合ったアクションを特定するのに役立つ攻撃グラフサービス
- 意思決定のためにネットワーク状況を維持する環境状態サービス
Incalmoの導入により、従来失敗していたLLMが10環境中9つのテスト環境を侵害し、いくつかは攻撃グラフ全体の踏破に成功しました。IncalmoなしではLLMが侵害できなかったEquifaxを模した環境でも、複数のAIモデルが抽象化レイヤーを活用して48のデータベースすべてにアクセスすることができました。
AI主導攻撃の構造
攻撃段階と能力
AIによる攻撃実行の理解は、効果的な防御策の構築に不可欠です。研究によれば、AI攻撃者は高度な持続的標的型攻撃（APT）に類似した体系的なアプローチをとりますが、機械レベルの効率性と持続性を備えています。
偵察は、AIがネットワークトポロジーを体系的にマッピングすることから始まります。スキャンツールを用いて、AIは稼働中のホスト、開いているポート、稼働中のサービスを特定します。人間の攻撃者が特定のシステムのみを狙うのに対し、AIは発見可能なすべての資産を網羅的にカタログ化し、完全な攻撃対象リストを作成します。
初期アクセスでは、発見した脆弱性を悪用します。テストでは、AIがApache Strutsの脆弱性（CVE-2017-5638）、設定ミスのあるサービス、弱い認証情報を悪用することに成功しました。AIの強みは、認知的な制約を受けずに複数の攻撃ベクトルを同時に試行できる点にあります。
横移動では、AIの体系的な効率性が発揮されます。初期侵害後、AIは発見した認証情報や信頼関係を利用してネットワーク内を着実に横断します。あるケースでは、AIがWebサーバー上のSSH認証情報を発見し、それを使って48台のデータベースサーバーすべてにアクセスしました。これは人間のオペレーターなら疲弊する作業ですが、AIには全く問題ありません。
権限昇格では、AIがシステム設定ミスを特定し悪用する能力を示します。AIはsudoeditの脆弱性やpasswdファイルの設定ミス、その他一般的な昇格経路を利用して、侵害したシステム全体で管理者権限を獲得しました。
データ持ち出しで攻撃チェーンが完結します。AIは機密情報を体系的に特定し、抽出します。人間主導の急速なデータ窃取とは異なり、AIは検知閾値を回避するような、忍耐強く長期間にわたる持ち出しキャンペーンも実行可能です。
AI攻撃者の特異性
AI攻撃者は、人間の脅威とは異なる特性を持っています：
- 発見したすべての情報や過去の試行を完全に記憶
- 休憩や疲労、注意力低下なしに継続稼働
- 膨大な情報量を瞬時に処理・相関
- 発見したインテリジェンスに基づきリアルタイムで戦略を適応
- フラストレーションやバイアスなく攻撃ベクトル間をシームレスに切り替え
これらの特性と体系的手法が組み合わさることで、従来のセキュリティ前提を揺るがす極めて効果的な敵対者となります。
実際に検証された攻撃シナリオ
研究の信頼性は、現実的なテストシナリオに基づいています。Equifaxを模した環境では、脆弱なApache Strutsサーバー、平文で保存された認証情報、機密データを含む多数のデータベースサーバーなど、実際の侵害条件が再現されました。AIは初期侵害から全データベースアクセスまで、攻撃チェーン全体を成功させました。
Colonial Pipelineを模したシナリオでは、AIによる重要インフラへの標的型攻撃能力が検証されました。この環境にはITとOTネットワークが含まれ、物理プロセスを制御するシステムへの侵入が目的でした。AIは複雑なネットワークセグメンテーションを突破し、管理インターフェースを悪用して重要な制御システムに到達しました。
一般的なエンタープライズ環境（Webサーバー、従業員ワークステーション、ネットワークセグメントをまたぐデータベース）も同様に脆弱でした。AIは効果的なマッピング、資産特定、体系的な侵害を実証し、完全なデータアクセスに至りました。
なぜ従来のセキュリティ対策は通用しないのか
従来型防御の限界
従来のサイバーセキュリティ対策は、人間主導の攻撃を人間のスピードと制約で想定して設計されてきました。シグネチャベースの検知システムは既知の脅威には有効ですが、AIが動的に生成する新たな攻撃パターンは検知できません。これらのシステムは特定のシグネチャやシーケンスの認識に依存しますが、AIは静的防御を回避する新たな手法を生み出します。
人間のスピードでのセキュリティ運用は、マシンスピードの攻撃に対しては脆弱性となります。アナリストが単一のアラートを調査している間に、AI攻撃者は数百の追加ベクトルを同時に試行し、人間の対応能力をはるかに上回る速度で可能性を検証します。人間による脅威特定と対応にかかる時間の間に、AIはすでに代替戦略を実行している可能性があります。
断片化されたセキュリティインフラは、AIが容易に突く可視性のギャップを生み出します。各種ツールがネットワークの異なる側面を監視しているため、洗練されたパターンを特定するには人間の分析が必要となり、AI攻撃者が回避できるボトルネックとなります。
抽象化レイヤーの優位性
研究の重要な知見は、AIの攻撃能力を超えて、Incalmoのような抽象化レイヤーがAIの推論と技術的実行のギャップを埋める点にあります。この進展は攻撃・防御の両面で大きな意味を持ちます。IncalmoがAIの実装課題を克服したように、同様のツールがあれば高度な攻撃が技術力の低い攻撃者にも手の届くものとなります。
このアクセス容易化は脅威状況を根本的に変えます。従来は多段階ネットワーク攻撃には長年かけて培った深い専門知識が必要でしたが、AIと適切なツールがあれば、LLMと対話できるだけでこれらの能力が利用可能となります。組織を守っていた技術的障壁は、事実上低減しました。
スピードと規模の課題
AI攻撃者は、人間の防御側が到底追いつけない規模とスピードで活動します：
- 24時間365日、シフトや休憩なしで継続稼働
- 複数ベクトルの同時攻撃実行
- リアルタイムでの情報相関と戦略適応
- データ量によるアラート疲労や認知過負荷なし
このスピード差は、攻撃者に有利な非対称状況を生み出します。セキュリティチームがインシデント調査や対応に数時間・数日を要する一方で、AIは数分で攻撃チェーン全体を完了します。人間の分析や介入に依存するセキュリティモデルは、こうした脅威に対して構造的に不十分です。
AI活用型防御への道
研究から明らかなのは、AI主導攻撃に対抗するにはAI主導防御が不可欠だということです。組織には、マシンスピードで動作しつつ人間による監督と制御も維持できるセキュリティソリューションが求められます。つまり、行動パターン認識、リアルタイムの脅威分析、適応型対応メカニズムを備えたシステムの導入が必要です。
効果的なAI防御戦略は、研究で特定された攻撃パターンへの対応が不可欠です。偵察段階では、AI攻撃者特有の体系的なスキャンパターンを防御AIが識別する必要があります。横移動に対しては、単一の認証情報で多数のシステムに短時間でアクセスするなど、機械的な徹底性を検知できるシステムが必要です。
最新のセキュリティプラットフォームは、行動分析、機械学習モデル、自動対応システムを通じてこれらの機能を取り入れ始めています。Kiteworksのプライベートデータネットワークのようなソリューションは、AIを活用してAI主導攻撃を検知・対抗し、機密データの移動を一元的に可視化・制御するアプローチの代表例です。
サイバーセキュリティにおけるAIの未来
進化する脅威状況
現在の研究は、AIによる攻撃能力の初期段階を示しています。モデルの進化と利用容易性の向上により、今後は急速な能力向上が予想されます。将来のAI攻撃は以下を組み込む可能性があります：
- 防御側の対応から学習する高度な回避手法
- 遭遇した防御に応じて動的に戦略を適応
- リアルタイムインテリジェンスを共有する複数組織への協調攻撃
- 技術的攻撃を補完する高度なソーシャルエンジニアリング
攻撃と防御のダイナミクスは加速し、双方が進化するAI能力を活用する時代となります。AI強化防御を持たない組織は、攻撃のスピードと高度化に圧倒されるリスクが高まります。攻撃が進化するか否かではなく、どれだけ早く進化し、防御側がそのペースに追いつけるかが問われています。
規制・コンプライアンスの考慮事項
新たな規制は、AIセキュリティの課題にますます対応しつつあります。政府も従来の枠組みがAI時代の脅威に不十分であることを認識しています。今後は以下の義務化が予想されます：
- AI特有のセキュリティコントロールや設定
- AI攻撃者を想定した脅威モデリング
- インシデント対応手順のマシンスピード対応設計
- 定期的なAIセキュリティ評価と監査
業界特化型のAIセキュリティ基準も、従来要件を超えて策定が進んでいます。金融、医療、インフラ分野がこの進化をリードしています。組織は、AI攻撃を「起こり得る」ではなく「起こるもの」と想定する規制への備えが求められます。
結論：AIを脅威から盾へ
カーネギーメロン大学とAnthropicの研究は、AI主導サイバー攻撃が将来の可能性ではなく、すでに現実であることを示しています。LLMが自律的に高度な多段階攻撃を高い成功率で実行することは、セキュリティの前提を根本から覆すものです。従来の人間中心モデルを維持する組織は、深刻な不利な立場に置かれます。
今後は、AI強化攻撃に対抗するAI強化防御の採用が不可欠です。これは、既存の技術スタックにツールを追加するのではなく、AI時代の環境に合わせてセキュリティアーキテクチャを根本から見直すことを意味します。AIの攻撃者としての危険な特性（スピード、持続性、適応性）は、適切なプラットフォームを用いれば防御の強みに転換できます。Kiteworksのプライベートデータネットワークのようなソリューションは、AI主導の行動分析や自動対応機能で新たな脅威に効果的に対抗できることを示しています。
組織は、AI脅威の観点から現行セキュリティを評価する必要があります。防御はマシンスピードで動作できるか？AIによる偵察や横移動を検知できる包括的な可視性があるか？自動化された攻撃の規模と高度化に対応できる設計か？これらに否定的な答えが出る場合、進化する脅威に適応できるAI主導セキュリティソリューションの早急な導入が必要です。
AI時代のセキュリティ環境では、昨日の防御策が今日の脆弱性となります。成功する組織はこの変化を認識し、柔軟に適応しています。Kiteworksのようなプラットフォームや他のAI強化セキュリティソリューションを通じて、防御のAI化はもはや選択肢ではなく必須です。セキュリティをアップグレードするか否かではなく、AI主導の脅威に対応できる防御をどれだけ早く実装できるかが問われています。
よくある質問
はい。カーネギーメロン大学とAnthropicの研究により、GPT-4やClaudeなどのLLMは、Incalmoのようなツールを用いることで、多段階ネットワーク攻撃を自律的に実行し、最大100%の成功率を達成できることが証明されました。ただし、こうした抽象化レイヤーがなければ、AIモデルは技術的な実装で苦戦し、攻撃目標の達成率は30%未満にとどまります。
AI攻撃者は24時間365日疲れ知らずで、数百の攻撃ベクトルを同時に調査し、発見した脆弱性や認証情報を決して忘れません。テストでは、AIが単一の認証情報でネットワーク内の48のデータベースすべてに体系的にアクセスしました。また、リアルタイムで戦略を適応し、従来のシグネチャベースセキュリティを回避する新たな攻撃パターンも生成します。
組織はAI主導防御を直ちに導入すべきです。なぜなら、研究で使われたAIモデルは誰でも利用可能な公開モデルであり、今この瞬間にも攻撃者がアクセスできるからです。マシンスピードの防御がない1日ごとに、組織は数分で全侵害シーケンスを完了する攻撃にさらされ続けます（人間攻撃者なら数時間〜数日かかる作業です）。
AIは、Apache Strutsの脆弱性（CVE-2017-5638）、設定ミスのあるサービス、弱い認証情報、sudoeditなどの権限昇格脆弱性を悪用しました。これらはEquifaxやColonial Pipelineなど実際の侵害事例を模したテスト環境で検証されました。AIはこれらのエクスプロイトを連鎖させ、初期アクセスから横移動、データ持ち出しまでネットワーク全体の侵害を体系的に実行しました。
従来のセキュリティツールや人間のスピードで運用されるセキュリティオペレーションセンター（SOC）は、AI攻撃に対して構造的に不十分です。なぜなら、既知のシグネチャや人間の分析速度に依存しているためです。アナリストが1つのアラートを調査している間に、AIは数十の別の攻撃ベクトルを実行できます。KiteworksのようなAI主導プラットフォームを導入し、行動異常検知、マシンスピード対応、全システム横断の統合可視性を確保することが、これらの脅威に効果的に対抗するために必要です。
追加リソース