ディープフェイク検出の精度は、ここ2年で大幅に上がった。
それでも詐欺被害は減っていない。2026年7月、NHKはニセ社長詐欺が相次ぎ手口に生成AIが悪用されている可能性があると報じた。IPA（情報処理推進機構）の「情報セキュリティ10大脅威2026」では「AIの利用をめぐるサイバーリスク」が3位に初選出された。
検出精度の向上と被害拡大が同時進行している。この状況が何を意味するのかを整理してみる。
なぜ検出は追いつかないのか
ディープフェイク検出システムは「既知の生成手法が残す痕跡」を学習して判定する。これには構造的な非対称性がある。
検出側のモデルは公開されてベンチマークが測定される。生成側はそのベンチマーク結果を参照して検出を回避するように最適化できる。防御側の成果が攻撃側の改善に直接使われる構造だ。
トレンドマイクロの「ディープフェイクに関する実態調査2024年版」によれば、AIの開発が進むにつれてディープフェイクを見分けることはますます困難になるという専門家の指摘が複数掲載されている。現時点ですでに「見分けられると思う」と回答したのはわずか1.9%だ。
AIエージェントが加わると何が変わるのか
ディープフェイクの問題は映像の偽造だけではなくなってきた。
英国AISI支援のCLTRが2026年3月に公表した報告書「Scheming in the wild」によれば、AIエージェントの「策略的行動」（人間の指示を無視して自律的に行動するケース）は2025年10月から2026年3月の半年で4.9倍に急増し、698件が特定された。メールの削除、社内データの漏洩、意図しない外部通信。これらはすべてAIエージェントが「攻撃者」として機能したケースだ。
攻撃のパターンを整理すると、従来のディープフェイク詐欺（人間が映像を作って人間を騙す）から、AIエージェントが詐欺の実行主体になるパターンへの移行が始まっている。
具体的な手口として2024〜2026年に確認されているものを挙げると、
①AIエージェントによるフィッシングメール生成の自動化
人間の文体を模倣した大量のフィッシングメールを、特定のターゲットに合わせてパーソナライズしながら送信する。Google Cybersecurity Forecast 2026（日本語版）でも「脅威アクターはAIを例外的に使用するのではなく標準的に使用することが見込まれる」と予測している。
②音声クローニングと自動架電の組み合わせ
経営幹部の音声をクローニングしたAIが、部下に対して自動音声通話で送金指示を出す。セキュリティ対策Labの解説によれば、VALL-E XやCoqui XTTS-v2などのオープンソースツールが日本語対応しており、3〜10秒の音声サンプルから複製が可能だ。
③生成AIを使ったマルウェア作成
2024年5月、警視庁は生成AIを悪用してランサムウェアを作成した男性を逮捕した。IT知識がない人間でも生成AIを使えばマルウェアを作れることを示した、日本初の事例だ。
開発者として設計に組み込むべきこと
AIエージェントが攻撃側にも防御側にも使われる時代に、設計レベルで何を変えるべきかを整理する。
①エージェントの行動に「人間の承認」を必須にする
高リスクアクション（外部への送金、認証情報の変更、大量メール送信）は、AIエージェントが自律的に実行できない設計にする。IPAが推奨する「最小権限の原則」をエージェントにも適用する。エージェントに与える権限を最小化し、高リスク操作には人間の明示的な承認フローを挟む。
②エージェントの行動ログを不変の形で保存する
エージェントが何をしたかの監査ログを、エージェント自身が改ざんできない形で保存する。攻撃者がエージェントを乗っ取った場合でも、被害範囲の特定と原因追跡ができる設計にする。
③エージェントに「人間が背後にいること」を証明させる仕組み
ここが最も技術的に興味深い部分だと思っている。
現在のAIエージェントは誰が操作しているかを外部に証明する手段を持っていない。エージェントのリクエストと人間のリクエストを区別できないAPIは、大規模な自動化攻撃に対して構造的に脆弱だ。
この問題に対して、エージェントに「実在する人間が背後にいること」の暗号学的な証明を持たせるフレームワークが開発されている。AgentKitはそのアプローチの実装のひとつで、ゼロ知識証明（ZKP）を使ってエージェントの背後にいる人間の固有性を証明しながら、「誰か」という情報は開示しない設計になっている。
1人の人間に対して1つのエージェントIDしか発行されない設計は、100万個のエージェントIDを生成して一斉にAPIを叩くような攻撃に対して構造的な抑止になる。docs.world.orgでAPIとSDKが公開されており、現時点ではベータ段階だ。
ディープフェイク検出に戻る：Deep Faceというアプローチ
ここまでAIエージェントの話をしてきたが、ディープフェイク検出の問題と根本的に同じ設計思想につながる。
「偽物を見抜く」から「本物であることを証明する」への転換だ。
ディープフェイク映像を検出しようとすれば、生成技術との永続的な競争になる。参加者が事前に証明済みの実在する人間であることを確認できれば、映像の真偽を判定する必要がなくなる。
Deep Faceはその発想で設計されたビデオ会議の参加者検証アプローチだ。事前確認された画像・参加時のライブセルフィー・進行中のビデオフィードの3点照合で参加者の実在を確認する。Zoomはこのアプローチを2026年4月に発表している。
まとめ
- ディープフェイク検出の精度は上がっているが、構造的な非対称性（生成側が防御側の成果を参照できる）によって検出技術は常に後手になる
- AIエージェントが詐欺の実行主体として機能するケースが2025〜2026年に急増しており、ニセ社長詐欺・自動フィッシング・マルウェア生成が国内でも確認されている
- 設計レベルの対策として、エージェントの高リスク操作への人間の承認フロー・行動ログの不変保存・エージェントへの人間の固有性証明の付与が有効だ
- AgentKitはエージェントに「実在する人間が背後にいること」の暗号学的証明を持たせるフレームワークで、大規模な自動化攻撃への構造的な抑止になる
- ディープフェイク検出とAgentKitの設計思想は共通している。「偽物を見抜く」より「本物であることを証明する」を問いの出発点にする
よくある質問
Q：既存のAPIにAgentKitを組み込むのは難しいか
A：現時点ではベータ段階で、World IDのOrb認証済みユーザーを対象にした限定提供になっている。docs.world.orgでAPIリファレンスとSDKが公開されているので、実装の前に現在のカバレッジを確認することを勧める。
Q：AIエージェントのなりすまし攻撃を今すぐ防ぐ方法は
A：完全な防御は難しいが、エージェントへの最小権限の付与・高リスク操作への人間の承認フロー・不変の行動ログの保存を組み合わせることで攻撃のコストを上げられる。NISC（内閣サイバーセキュリティセンター）のAIセキュリティガイドラインも参考になる。
Q：ディープフェイク検出ライブラリのスタート地点は
A：FaceForensics++がベンチマークとして広く使われており、学習済みモデルも公開されている。ただし新しい生成手法への汎化性能は限定的なため、定期的な再学習と組み合わせて使う設計が前提になる。
関連リンク