「AI を使ったサイバー攻撃が急増」という見出しや、「攻撃の速さは人の能力を超えた」というセキュリティ製品の発表を見ると、守る側も AI を入れなければ間に合わないのでは、と考えるのは自然です。
ただ、先に知りたいのは、AI で攻撃の何が変わったのか、それに合わせて守りの何を変えればよいのか、のはずです。この記事では、英国の NCSC（国家サイバーセキュリティセンター）、Google、Anthropic など、攻撃と防御の当事者が自ら公表した一次資料から、AI の時代に攻撃がどう変わったか（5 つの変化と、変わらないこと）と、変化ごとに守りをどう変えるかを並べます。そのうえで、AI を守りにどう使うか、中小企業は何から手を付けるかまで答えます。冒頭の図は、4 つの問いと答えを 1 枚に並べたものです。
この記事は、IT連携マップ（renkeimap.jp）の調査ページ AI でしか守れないのか をもとにした Qiita 版です。AI とサイバー攻撃を 4 本で読む連載の 4 本目です。連載 1 本目で使った対策の記号（A〜G）を、この記事でも同じ意味で使います。A は修正プログラムを早く当てて入口を点検すること、B は資格情報を守り多要素認証を掛けること、C は検知から遮断までを速くすること、G は AI の API キー（API は Application Programming Interface の略）とアカウントを本番の資格情報と同じに扱うことです。攻撃の種類ごとに先に決めることは 「AI が攻撃した」は何が起きたか にまとめています。
1. 問いと答え
問い 1 AI で、攻撃はどう変わったのか？
答え：速くなり、攻撃に手を出せる人が増えました。一方で、突かれる場所（盗まれた資格情報・修正を当てていない機器・公開したままのサービス）は以前と同じです。
問い 2 AI を使った攻撃は、AI でしか守れないのか？
答え：いいえ。いちばん効くのは今までの基本の対策で、AI は、土台の固い会社の守りをさらに強める道具です（英国 NCSC）。
問い 3 守り方の何を変えればよいか？
答え：速さに合わせて、修正を日の単位で当てることです。強い AI を持つ攻撃者がいる前提で、突かれる入口と鍵を先に閉じます。
問い 4 AI を守りに使うなら、どこで使うのか？
答え：脆弱性を見つけて直す場面と、見張りの手を補う場面です。使うなら、人の確認と、誤って止めたときの影響を見込みます。
この記事で使う言葉
| 言葉 | この記事での意味 |
|---|---|
| 脆弱性（ぜいじゃくせい） | ソフトウェアの弱点。修正が出る前から悪用されるものは、ゼロデイ脆弱性と呼ばれます。詳しくは ゼロデイ脆弱性とは |
| 修正プログラム（パッチ） | 脆弱性を直すために開発元が配る更新。使う側が入れて初めて効きます。詳しくは AI でしか守れないのか |
| WAF | ウェブサイトに届く通信を調べ、既知の攻撃の形を入口で止める仕組み。修正を当てるまでのつなぎに使います。詳しくは WAF とは |
| 多要素認証（MFA） | 種類の違う証拠を 2 つ以上組み合わせてログインを確かめる仕組み。詳しくは 多要素認証（MFA）とは |
| フィッシング | 実在する組織を装って偽のサイトへ誘い、パスワードなどを入力させる手口。詳しくは フィッシングとは |
| EDR | PC やサーバーの中の不審な動きを見つけて、管理者に知らせる仕組み。詳しくは EDR とは |
| VPN 機器 | 社外から社内ネットワークに入るための入口の機器。ランサムウェアの侵入経路として最も多く挙がります。詳しくは VPN（VPN 機器）とは |
| ランサムウェア | データを暗号化して使えなくし、元に戻す対価として金銭を求める不正プログラム。詳しくは ランサムウェアとは |
| AI エージェント | 答えるだけでなく、道具を使って実際に手を動かす AI。攻撃にも防御にも使われています。詳しくは AI エージェントとは何か |
2. AI で攻撃はどう変わるか — 5 つの変化と、変わらないこと
図を上から読みます。① 速くなる：脆弱性の公表から悪用までが週から日の単位に縮み、攻撃の試作コードの公開から 22 分で悪用が試された例もあります。② 攻撃に手を出せる人が増える：技能の壁が下がりました。③ 自動で回る：作戦の 80〜90% を AI が実行し、ピーク時は毎秒複数の要求を出した例があります。④ AI の能力が伸びる：AI がこなせるサイバー作業の長さは 4.7 か月ごとに倍になっていたと英国の AI Security Institute（AISI）が推定し、OpenAI は GPT-6 Astra が同社の基準でサイバー分野の Critical に初めて達したとしています。⑤ 見分けにくくなる：AI の翻訳で、母国語でも違和感のない文面が書けるようになりました。いちばん下の行が変わらないことで、攻撃そのものは既知の手口で、インターネットに出ている機器は常に探されています。
| 変化 | 何が起きているか | 出典 |
|---|---|---|
| ① 速くなる | 2025 年後半、公表から悪用までが週から日の単位に縮んだ。公表から約 48 時間で、暗号資産の採掘プログラムを仕込む動きもあった。試作コードの公開から 22 分で悪用の試みがあった例は、AI には触れていない。英国 NCSC は、AI がさらに縮めることはほぼ確実と見ている | Google Cloud（2026 年上半期版の報告）・Cloudflare（2024 年 7 月）・英国 NCSC（2025 年 5 月） |
| ② 人が増える | 技術の乏しい犯罪者が、以前なら何年もの訓練が要った作業（ランサムウェアの開発など）を AI で行っている。初心者の犯罪者などの壁を下げる | Anthropic（2025 年 8 月）・英国 NCSC（2024 年 1 月）・警察庁（2026 年 3 月） |
| ③ 自動で回る | 作戦の 80〜90% を AI が実行し、人の重要な判断は作戦 1 つあたりおそらく 4〜6 か所。ピーク時は数千の要求を、しばしば毎秒複数出した | Anthropic（2025 年 11 月） |
| ④ AI の能力が伸びる | AI がこなせるサイバー作業の長さは、2024 年末から 4.7 か月ごとに倍（2026 年 2 月時点の推定）。GPT-6 Astra は、道具と権限があれば、人が一歩ずつ導かなくても未知の脆弱性を見つけて突く方法を作れる。実際の攻撃でも、AI で作られたとみられるゼロデイの攻撃コードが初めて確認された | 英国 AISI（2026 年 5 月）・OpenAI（2026 年 9 月）・Google（2026 年 5 月） |
| ⑤ 見分けにくくなる | AI の翻訳で、フィッシングの文面を標的の母国語で違和感なく書けるようになった | IPA（2026 年 3 月） |
| ⑥ 変わらないこと | 攻撃そのものは既知の手口。警察庁のセンサーに届いた不審なアクセスは 1 日・1 IP アドレスあたり 9,605.7 件（令和 7 年）で、探索は高い水準で常態化している | Anthropic（2026 年 9 月）・警察庁（2026 年 3 月）・NICT（2026 年 2 月） |
⑥ の Anthropic の原文は、こうです。
"The attacks themselves are familiar, involving stolen credentials, unpatched edge devices, exposed services, SQL injection, and phishing."
盗まれた資格情報、修正を当てていない出入口の機器、公開したままのサービス。①〜⑤ で変わったのは、突く速さと、突ける人の数と、突く道具の強さです。突かれる場所は以前と同じなので、守りの手当ても、その場所に向けたものになります。
もう 1 つ、AI の鍵やアカウントそのものが狙われるようになったことも、連載 1 本目で見た変化です。Anthropic は、AI の鍵を手に入れた攻撃者は、転売できるもの・他人の費用で回せる処理・持ち主の名義の 3 つを一度に得ると書いています。
読み方の注意もあります。5 つの分け方は、報告を並べたうえでの筆者の整理です。速くなった分のうち AI によるものがどれだけかは、読んだ報告のどれも数えていません。④ の AISI と OpenAI の数字は評価機関と開発元が自ら測った能力で、実際の攻撃で観測した数ではありません。「AI 攻撃が急増」という見出しの数字も、多くは各社が自社の基準で「AI が関わった」と判定した指標です（CrowdStrike の 89% 増など）。警察庁のランサムウェア被害の報告件数（令和 7 年は 226 件）のように AI かどうかを問わない統計では、AI と結びついた増加は、読んだ範囲では示されていません。攻撃の量が何倍になったかより、上の変化ごとに守りを見直す方が、手当てにつながると考えます（推測）。
📎 5 つの変化の原文は AI でしか守れないのか の「AI で攻撃はどう変わるか」 で、数字の読み方は 同じページの表 で確かめられます。見出しの数字の 3 種類は 「AI 攻撃が急増」で増えたのは何か、速さと技能の壁は 同じページの「公表から悪用までが速くなった」 と 「技能の壁が下がった」、AI の能力の測り方は AI の安全の枠組みとは、見分け方が通じにくくなった話は フィッシングとは で確かめられます。
3. 守りはどう変わるか — 変化ごとの手当て
図を上から読みます。各行の上が攻撃の変化、矢印（→）の後がそれに合わせた守りの変化で、括弧の記号は、連載 1 本目の図 1 にある 7 種類の対策の記号です。速くなる → 修正を日の単位で当て、自動更新にし、当てるまでのつなぎに WAF を置く（A）。人が増え、常に探される → 外から入れる入口を減らし、使わない入口を閉じる（A）。自動で回る → 検知から遮断までを、人の目視に頼らず速くする（C）。AI の能力が伸びる → 強い AI を持つ攻撃者がいる前提で、層を重ねる。見分けにくくなる → 見た目で見分けるのをやめ、フィッシングに強い多要素認証（パスキーなど）にする（B）。AI の道具も狙われる → AI の鍵とアカウントを本番の資格情報と同じに守る（G）。
| 変化 | 守りの変化 | 新しくやること・根拠 |
|---|---|---|
| 速くなる | 修正を日の単位で当てる（A） | 更新を展開するまでの時間を縮め、できる限り自動更新にする（Anthropic）。更新できるまでは、WAF のルールの更新などで入口で攻撃を止める（Google Cloud） |
| 人が増え、常に探される | 外から入れる入口を減らす（A） | 攻撃者は侵入する隙のある標的を探す（警察庁）。外から届く機器と窓口を一覧にし、使っていないものを閉じる |
| 自動で回る | 検知から遮断までを速くする（C） | ピーク時に毎秒複数の要求が来るなら、人が画面を見て気づく運用では追いつかない。Google Cloud も、AI を使って標的を探る試みと並べて、より自動の守りへ移るよう勧めている |
| AI の能力が伸びる | 強い AI を持つ攻撃者がいる前提で守る | 少なくとも一部の攻撃者は、既に高い能力の AI を持っていると考えるべき（英国 NCSC）。修正が無いことを前提にした多層の防御と、異常を検知する仕組みを作る（IPA） |
| 見分けにくくなる | 見た目で見分けるのをやめる（B） | 物理的な鍵やパスキーによる、フィッシングに強い多要素認証を求める（Google Cloud）。正しい ID とパスワードを持たれていても、乗っ取りを狙う攻撃の 99% 超を止められる（Microsoft） |
| AI の道具も狙われる | AI の鍵を本番の資格情報と同じに守る（G） | AI の鍵とエージェントの連携を、本番の資格情報と同じ真剣さで扱う（Anthropic）。AI の道具も、攻撃される対象の一部として扱う（英国 NCSC） |
左右の対応と記号の割り当ては、報告を並べたうえでの筆者の整理です。並べてみると、新しく足すものは一部で、多くは今までの対策を、速く・例外なく回すことです。NCSC が「最も効果のある対策は、新しいものでも実験的なものでもない」と書いているのと同じ向きです。
📎 変化ごとの守りの原文は AI でしか守れないのか の「守りはどう変わるか」 で確かめられます。WAF を修正までのつなぎに置く考え方は WAF とは、修正が無い間の備えは ゼロデイ脆弱性とは、多要素認証をすり抜ける手口とフィッシングに強い方式は 多要素認証（MFA）とは、AI の鍵が狙われる話は 「AI が攻撃した」は何が起きたか で確かめられます。
4. 「AI でしか守れない」は本当か
図を上から読みます。上の段は AI を防御に使うことについてで、Microsoft は「必要」、英国 NCSC は「使うべき」と書き、実績として Google と米 DARPA の成果が並びます。下の段は、同じ資料が基本の対策と人の手について書いていることで、NCSC は最も効く対策は新しいものではないとし、Anthropic は深刻な 1 件の修正に平均 2 週間かかると書いています。いちばん下が、中小企業が固める順番です。
| 発表元（時期） | AI を防御に使うことについて | 基本の対策について |
|---|---|---|
| Microsoft（2025 年 3 月・自社製品の発表） | 攻撃の速さと複雑さは人の能力を超え、AI エージェントは現代のセキュリティに必要 | — |
| 英国 NCSC と AI Security Institute（2026 年 3 月） | 攻撃側を強めうる同じ能力を、守る側も使わなければならない | 最も効果のある対策は、新しいものでも実験的なものでもない。AI は弱い基盤を補わない |
いちばん強い Microsoft の言い方でも、原文は "establishing AI agents is a necessity for modern security" で、「必要（necessity）」までです。AI でなければ守れないとは書いておらず、しかも自社の製品を紹介する発表です。一方の英国 NCSC は、AI を防御に使うよう勧めた同じ文書で、こう書いています。
"AI won’t compensate for weak security foundations, but it will amplify both strengths and weaknesses."
AI は弱い土台を補わず、強みも弱みも増幅する。NCSC は、AI を使った攻撃は守りの固い相手より弱い相手に対して速く広がるので、基本の守りが欠かせないともしています。
AI を入れるかどうかより先に、土台が固いかどうかが効く。当事者の資料を並べて読むと、こうなります。なお「AI でしか守れない」と書いた資料が見つからなかったのは、調査ページが読んだ一次資料 16 本についての話で、世の中のすべての資料を調べた結果ではありません。
📎 発表元ごとの原文は AI でしか守れないのか の「一次資料は見つからなかった」 で、「使うべき」と書いた資料が同時に添えていることは 同じページの表 で確かめられます。
5. AI を守りに使うと何ができるか
図を左から読みます。守る側の AI として、Google の Big Sleep、米 DARPA の競技 AIxCC、Anthropic の Project Glasswing が並んでいます（左）。AI は脆弱性を見つけ、競技では仕込んだ脆弱性の 86% を、Project Glasswing では協力先と 1 万件超を見つけました（中）。右は直す・先に止める段で、競技では見つけた分の 68% を直し、Big Sleep は悪用される直前の脆弱性を先に止めました（右）。
| 使う場面（発表元・時期） | 何ができたか | 数字の範囲 |
|---|---|---|
| 見つける：Big Sleep（Google・2024 年 11 月） | 広く使われるデータベース SQLite の、悪用できる実在の脆弱性を初めて見つけた。正式版に入る前で、利用者に影響は無かった | このときチームは、対象に合わせた自動検査（ファザー）でも見つける力は同じくらいだろうと書いていた |
| 先に止める：Big Sleep（Google・2025 年 7 月） | 脅威情報と組み合わせ、使われる直前の脆弱性を先に止めた | AI エージェントが実際の悪用を直接くじいた初めての例だと、Google は考えている |
| 見つけて直す：AIxCC（米 DARPA・2025 年 8 月） | 仕込んだ脆弱性の 86% を見つけ、見つけた分の 68% を直した（準決勝では 37% と 25%）。1 課題あたり平均約 152 ドル | 5,400 万行のコードに競技用に仕込んだ脆弱性での数字 |
| 見つける：Project Glasswing（Anthropic・2026 年 5 月） | 約 50 の協力先と、深刻度が高いか重大な脆弱性を 1 万件超見つけた | 発表した組織自身の報告 |
| 見張りを補う | Anthropic は、監視の自動化・脅威の検知・脆弱性の評価・事故対応で AI を試すよう勧めている（2025 年 11 月） | 効果をうたう数字の読み方は 7 章 |
成果が出ているのは、脆弱性を見つけて直す場面です。86% は競技のために仕込んだ脆弱性についての数字で、世の中の脆弱性の 86% を AI が見つけるという意味ではありません。どれも発表した組織自身の報告です。また、これはソフトウェアを作る側・直す側の話で、成果が中小企業に届くのは、直った版が配られ、それを自社で入れたときです。
📎 各行の原文は AI でしか守れないのか の「AI による防御の実績」 で、数字の範囲は 同じページの「AIxCC の数字の範囲」 で確かめられます。
6. 詰まるのは、確かめて直す人の手
図を左から読みます。AI が脆弱性を見つけ（1 つ目の箱）、人が確かめて保守者に知らせ（2 つ目）、ソフトウェアの保守者が修正を作り（3 つ目）、使う側が直った版を入れます（4 つ目）。3 つ目の箱の数字は、Anthropic が開示した 2,300 件のうち、修正が分かっているのは 421 件だというものです。4 つ目の箱が、自社です。
Anthropic は、進み具合を決めるものが変わったと書いています。
"Progress on software security used to be limited by how quickly we could find new vulnerabilities. Now it’s limited by how quickly we can verify, disclose, and patch the large numbers of vulnerabilities found by AI."
以前は見つける速さで決まっていたが、今は AI が見つけた大量の脆弱性を、確かめ、知らせ、直す速さで決まる、という意味です。
| 段階 | 担う人 | 書かれていること |
|---|---|---|
| 見つける | AI | 量は大きく伸びた |
| 確かめて知らせる | 外部の調査会社など | 人による選別と確認が、全体の速さを決めている |
| 直す | ソフトウェアの保守者 | 2026 年 8 月 26 日時点で、392 のオープンソースのプロジェクトに開示した 2,300 件のうち、修正が分かっているのは 421 件（約 18.3%）。深刻な 1 件の修正に平均 2 週間 |
| 入れる | 使う側（自社） | 修正が出ても、広く入ったとは限らない |
中小企業に関わるのは、最後の段です。Anthropic は、現実の被害のかなりの部分は、修正が公開済みなのにまだ当てていないシステムで起きると書いています。Verizon の 2025 年の報告の中小企業向けの版（2023 年 11 月〜2024 年 10 月の事案）では、境界の機器の脆弱性のうち、1 年のうちに修正を終えたのは約 54% で、かかった日数の中央値は 32 日でした。2 章のとおり、悪用は公表から約 48 時間で始まることもあります。
AI がどれだけ速く見つけても、直った版を入れるのは自社です。
📎 段階ごとの原文は AI でしか守れないのか の「確かめて直す人の手」 で、開示の数と保守者の負担は 同じページの表 で確かめられます。
7. AI による防御の限界と逆効果
図を左から読みます。AI が脆弱性の報告や修正を大量に作り（左）、人が確かめずにそのまま出すと（中）、受け取る側の時間を奪います（右）。右の箱の数字は、curl の開発チームに届いた 2025 年の報告のうち約 20% が AI による粗悪な報告で、報告全体のうち本物の脆弱性だったのは約 5% だった、というものです。
| 取り組み・調査 | 書かれている限界 |
|---|---|
| CodeMender（Google DeepMind・2025 年 10 月） | 半年で 72 件の修正をオープンソースに出したが、作った修正はすべて人の研究者が確かめてから出している |
| XBOW（自動の侵入テスト・2025 年 6 月） | 脆弱性報奨金の米国ランキングで首位になったが、提出前に自社の担当者が確かめていた。約 1,060 件の提出のうち、重複 208 件・参考扱い 209 件 |
| curl の開発チーム（2025 年 7 月・報告を受ける側） | 報告 1 件に 3〜4 人が関わり、1 人あたり 30 分から 3 時間ほどかかる |
| 英国 NCSC（2026 年 3 月） | 自動の対応は、誤ると元の攻撃より大きな被害になることがある |
効果をうたう数字は、どれも「使っている組織」と「使っていない組織」を比べた結果です。
| 調査 | 数字 | 比べ方 |
|---|---|---|
| Microsoft の研究（2024 年 11 月） | 生成 AI を導入した組織で、事案の解決時間が 30.13% 短い傾向 | 原因とは特定できないと自分で書き、仮に原因でも、導入していない組織への効果は大きく見積もりすぎになるとしている |
| IBM（2025 年 7 月） | AI と自動化を広く使う組織は、侵害の費用が平均 190 万ドル低く、対応期間が平均 80 日短い | 2024 年 3 月〜2025 年 2 月に侵害を受けた 600 組織の調査 |
| IBM（2026 年 7 月） | AI と自動化を使うと答えた組織は、侵害の費用が平均 200 万ドル近く低い | 2025 年 3 月〜2026 年 2 月に侵害を受けた 602 組織の調査 |
AI を使ったから費用が下がったのか、予算や人員のようなほかの違いで下がったのかは、この比べ方では分けられません。AI の製品に自動で遮断や隔離をさせるなら、誤って止めたときの影響も見積もります。
📎 限界の原文は AI でしか守れないのか の「限界と逆効果」 で、効果の数字の比べ方は 同じページの「効果の数字の読み方」 で確かめられます。
8. 中小企業は何から手を付けるか
図を左から読みます。1 つ目の箱が基本の対策、2 つ目が今の製品の標準機能、3 つ目が自社で見張れない部分を頼む外部のサービスで、この順に固めます。下の段が効く対策で、連載 1 本目の A（修正プログラムと入口の点検）と B（資格情報を守る・多要素認証）です。3 章の新しいやり方も、この順番の中に入れます。
| 順 | 何をするか | 根拠 |
|---|---|---|
| 1 | 基本の対策。多要素認証、機器とアカウントの一覧、アクセスの管理、安全な設定、ログ | 一覧・アクセスの管理・設定・ログは英国 NCSC の基本。多要素認証は Anthropic が挙げている |
| 2 | 今の製品の標準機能を使う。自動更新を有効にし、メールや端末に入っている保護機能を切らない | 更新はできる限り自動にする（Anthropic） |
| 3 | 自社で見張れない部分を、外部のサービスに頼む | AI による監視の効果の研究は、専任の監視チームを持つ組織が対象（Microsoft の研究） |
2 と 3 の中身と順番は、資料を並べたうえでの調査ページの提案で、報告そのものの言葉ではありません。
8-1. 基本の対策 — 入口を減らし、フィッシングに強い多要素認証に
警察庁に届いたランサムウェアの被害報告では、被害を受けた企業・団体の約 6 割が中小企業です（件数の割合で、中小企業の数がそもそも多いことも含みます）。侵入経路は、令和 7 年（2025 年）に VPN 機器とリモートデスクトップで 87.0% を占めました。
| 入口 | 報告された経路 | 最初の 1 手 |
|---|---|---|
| VPN 機器 | ランサムウェアの侵入経路の 6 割以上（令和 7 年）。修正していない脆弱性、漏れた資格情報、簡単なパスワード、設定の不備が使われる | 勧める版に更新し、管理画面をインターネット側から外す。管理者と VPN の利用者の全員に多要素認証を掛ける（Fortinet の案内） |
| リモートデスクトップ（RDP） | ランサムウェアの侵入経路の 20.7%（2025 年） | インターネットに直接開けない。外から使うなら VPN を通す（Microsoft） |
| Microsoft 365・Google Workspace | 大手のクラウドと SaaS の事案の 83% で、初期の侵入に ID の問題が使われた（Google Cloud の報告・2025 年後半） | 多要素認証を求める。Microsoft の「セキュリティの既定値群」は追加の費用なしで使える |
多要素認証は、掛けるだけでなく、例外を残さないことと方式が大事です。Sophos が 2025 年に対応した事案では、侵入の経路とは別に数えた所見のうち、多要素認証が無いことが最も多く 59% でした。アスクルの被害でも、例外的に多要素認証を外していた業務委託先の管理者アカウントが不正に使われています。見た目で偽物を見分けにくくなった分、承認の通知を押すだけの形より、パスキーや物理的な鍵のようなフィッシングに強い方式に替えていきます（3 章）。
Fortinet は「Attacks at the Speed of AI」と題した 2026 年 3 月のブログで、報告された攻撃は FortiGate の脆弱性ではなく、外に開いた管理用の窓口と、多要素認証の無い弱い資格情報を突いて成功したと書き、こう続けています。
"The reported cyberattack would have been impossible with MFA in place."
8-2. 標準機能 — 自動更新と、入れ終える期限
IPA の中小企業向けのガイドラインは、最初に取り組む 6 か条の 1 つ目に「OS やソフトウェアは常に最新の状態にしよう」を置き、2026 年 3 月の第 4.0 版で「バックアップを取ろう」を加えて 5 か条を 6 か条にしました。自動更新を有効にし、自動にできない VPN 機器などは、修正が出てから入れ終えるまでの期限を日の単位で決めておきます。公開しているウェブサイトは、修正を当てるまでの間、WAF で既知の攻撃の形を止めます（3 章）。
8-3. 外部のサービス — 見張れない部分を頼む
攻撃が自動で回るなら、検知から遮断までを速くする必要があります（3 章の C）。ただ、AI による監視の効果の研究は、専任の監視チームを持つ組織が対象です。そうしたチームを持たない中小企業には、見張りそのものを外部に頼む手があります（調査ページの提案の 3 つ目）。アスクルは、侵害が起きたデータセンターのサーバーに EDR が入っておらず、24 時間の監視も無かったため、すぐに検知できなかったと公表しています。人手が足りなければ、IPA が案内する「サイバーセキュリティお助け隊サービス」のように、中小企業がサイバー攻撃に対処するのに欠かせないサービスをまとめて提供する民間のサービスがあります。
社内や委託先に確かめるときの聞き方は、この 3 つです。
「外から入れる VPN 機器・リモートデスクトップ・管理画面の一覧はありますか。多要素認証が掛かっていない例外のアカウントは残っていませんか。」
「修正プログラムが出てから、自社で入れ終えるまでの期限は何日ですか。自動更新は有効ですか。」
「EDR などの知らせを、夜間や休日は誰が受け、何分で止めますか。」
📎 3 つの順番の根拠は AI でしか守れないのか の「中小企業は何から手を付けるか」 にあります。入口ごとの経路と勧められている 3 手は 入口ごとの攻撃経路と推奨の 3 手、中小企業のランサムウェア被害と先に守るものは 中小企業はなぜランサムウェア被害の 6 割か、例外のアカウントの話は 多要素認証（MFA）とは、EDR の例は EDR とは で確かめられます。
9. この連載で答える 4 つの問い
| 問い | 答えている調査ページ |
|---|---|
| なぜ AI サイバー攻撃が相次ぐのか。どんな種類があり、どう備えるか | 「AI が攻撃した」は何が起きたか |
| 評価中の強い AI が、実験室の外に出たら何が起きるか | テスト中の AI の事件は何が原因か |
| AI は善意か悪意か。AI サイバー攻撃は誰のせいか | AI アラインメントとは |
| AI を使った攻撃は、AI でしか守れないのか（この記事） | AI でしか守れないのか |
一次出典・参考文献
| 資料 | 発表 | 原文 |
|---|---|---|
| Microsoft: Security Copilot の AI エージェントの発表 | 2025-03-24 | microsoft.com |
| 英国 NCSC・AI Security Institute: フロンティア AI に備える防御側へのブログ | 2026-03-30 | ncsc.gov.uk |
| Anthropic: AI 主導のスパイ活動の遮断 | 2025-11-13 | anthropic.com |
| Anthropic: Project Glasswing の最初の報告 | 2026-05-22 | anthropic.com |
| Anthropic: 脆弱性の協調開示の集計ページ | 2026-08-26 更新 | red.anthropic.com |
| Anthropic: Claude Mythos Preview のサイバー能力の技術報告 | 2026-04-07 | anthropic.com |
| Anthropic: AI の悪用の検知と対処 2026 年 9 月版 | 2026-09-10 | anthropic.com |
| Anthropic: AI の悪用の検知と対処（2025 年 8 月） | 2025-08-27 | anthropic.com |
| Google Project Zero: Big Sleep が見つけた最初の実例 | 2024-11-01 | projectzero.google |
| Google: 2025 年夏のサイバーセキュリティの取り組み | 2025-07-15 | blog.google |
| 米 DARPA: AI Cyber Challenge の決勝の結果 | 2025-08-08 | darpa.mil |
| Google DeepMind: CodeMender の発表 | 2025-10-06 | deepmind.google |
| XBOW: 報奨金ランキングで首位になった経緯 | 2025-06-24 | xbow.com |
| curl の開発者 Daniel Stenberg: 脆弱性の報告に占める AI の粗悪な報告 | 2025-07-14 | daniel.haxx.se |
| Microsoft の研究者: 生成 AI とセキュリティ監視チームの生産性の研究 | 2024-11 | microsoft.com |
| IBM: Cost of a Data Breach Report 2025 の発表 | 2025-07-30 | ibm.com |
| IBM: Cost of a Data Breach Report 2026 の発表 | 2026-07-29 | ibm.com |
| Verizon: DBIR 2025 中小企業向けスナップショット | 2025 | verizon.com |
| CrowdStrike: 2026 Global Threat Report の解説ブログ | 2026-02-24 | crowdstrike.com |
| 英国 NCSC: AI がサイバー脅威に与える影響の評価 | 2024-01-24 | ncsc.gov.uk |
| 英国 NCSC: 2027 年までに AI がサイバー脅威に与える影響の評価 | 2025-05-07 | ncsc.gov.uk |
| Google Cloud: Cloud Threat Horizons Report 2026 年上半期版（PDF） | 2026 | services.google.com |
| Google Cloud: Cloud Threat Horizons Report H1 2026 の公表ページ | 2026 | cloud.google.com |
| 警察庁: 令和 7 年におけるサイバー空間をめぐる脅威の情勢等について | 2026-03 | npa.go.jp |
| IPA: 情報セキュリティ 10 大脅威 2026 解説書［組織編］ | 2026-03 | ipa.go.jp |
| IPA: 中小企業の情報セキュリティ対策ガイドライン 第 4.0 版 | 2026-03-27 | ipa.go.jp |
| IPA: 中小企業の情報セキュリティ対策ガイドライン 第 4.0 版の案内ページ | 2026-03-27 | ipa.go.jp |
| Fortinet: Attacks at the Speed of AI | 2026-03-06 | fortinet.com |
| Fortinet: PSIRT ブログ（Analysis of Threat Actor Activity） | 2025-04-10 | fortinet.com |
| Fortinet: FortiGate の資格情報の侵害の報告の分析 | 2026-06-19 | fortinet.com |
| Microsoft: PC への外からのアクセスを許可する（Microsoft Learn） | 2025-06-26 | learn.microsoft.com |
| Microsoft: Microsoft Entra ID のセキュリティの既定値群（Microsoft Learn） | 2025-07-21 | learn.microsoft.com |
| Microsoft: Microsoft Digital Defense Report 2025 の紹介記事 | 2025-10-16 | blogs.microsoft.com |
| Sophos: 2026 Active Adversary Report | 2026-02-24 | sophos.com |
| アスクル: ランサムウェア攻撃によるシステム障害関連 第 13 報 | 2025-12-12 | irpocket.com |
| Cloudflare: Application Security report 2024 update | 2024-07-11 | blog.cloudflare.com |
| 英国 AI Security Institute: 自律的な AI のサイバー能力はどれだけ速く伸びているか | 2026-05-13 | aisi.gov.uk |
| OpenAI: GPT-6 Astra のシステムカード | 2026-09-03 | deploymentsafety.openai.com |
| NICT: NICTER 観測レポート 2025 の公開 | 2026-02-05 | nict.go.jp |
| Google Threat Intelligence Group: AI を使った脆弱性の悪用と初期侵入 | 2026-05-11 | cloud.google.com |
引用した英語の原文と出典は、すべて調査ページで 1 行ずつ公開しています。1 行ずつ確かめたい方は、AI でしか守れないのか・「AI 攻撃が急増」で増えたのは何か・AI の安全の枠組みとは・入口ごとの攻撃経路と推奨の 3 手・中小企業はなぜランサムウェア被害の 6 割か をご覧ください。
読者アンケート実施中
このテーマをもっと深掘りしてほしい方は、記事に「いいね」をお願いします。「いいね」の多いテーマから順に追加調査し、結果は新着記事でお知らせします（フォローしていただくと通知が届きます）。
【転載OK】本記事の転載について
本記事の文章・図表は、すべて転載 OK です。図は加工しないままお使いください。転載の際は、出典として、この記事の完全版 『AI を使った攻撃は AI でしか守れないのか』（renkeimap.jp）へのリンクをお願いします。事前の連絡は不要です。
※ 筆者は日立系ITベンダー・介護ソフトベンダー・大学病院IT部門を経て独立し、現在は中小企業のIT・DX支援をしながら、業務システムの「つながり」を一次資料で調べています。 文中の「編集部」は、筆者が所属する IT連携マップ編集部 のことです。誤りを見つけられましたら 訂正窓口（無料・アカウント不要）へお願いします。訂正履歴も公開しています。