Report | AI Security, 2026 (Japanese)
チェック・ポイント、リサーチ担当VP
AIセキュリティ レポート2026
チェック・ポイントAIレポート • 第2号年次レポート
目次
01
はじめに
02 AIを活用したサイ バー攻撃
03 AIに対する攻撃： 攻撃対象領域とし てのAI
04 脅威にさらされる デジタルアイデン ティティ
05 データ漏洩とエン タープライズAIの 露出状況
06 AIのためのセキュリティ。 AIによるセキュリティ。 AIを用いたセキュリティ
07 2026年版CISOへの推 奨事項
はじめに
はじめに AIは支援する存在から自律的に動く存在へ 1年前、当社はAIを、サイバー攻撃者にとっての「フォースマルチ プライヤー（戦力増幅要因）」、すなわち既存の攻撃手法をより 速く、より低コストで、より利用しやすくする存在として位置付 けました。この12か月間に収集した証拠は、それよりもはるかに 重大な変化を示しています。
AIは、実際の攻撃チェーンの中に入り込みました。当社は、AIが 最小限の人間による指示だけで、数十のセッションにわたり数千 ものコマンドを生成し、エクスプロイトワークフローを自律的に 実行した侵害事例を記録しました。また、1人の開発者がわずか1 週間足らずで作成したマルウェアを分析したところ、その完成度 は、当初、数か月にわたり複数人のチームが開発したものと研究 者が判断したほど高いものでした。さらに、犯罪グループが政府 機関に対して大規模な侵害を実行し、その際にAIを単なる裏方の アシスタントではなく、主要なオペレーターとして利用している 事例も確認しました。そして、そのような事例のほとんどにおい て、攻撃にAIが関与していたことが明らかになったのは、攻撃者 自身の運用上のミスやAIプロバイダーによる監視がきっかけであ り、被害組織がAIの利用を検知したり、それを検出する仕組みを 導入していたからではありませんでした。
この変化は、防御側が考慮すべき前提そのものを変えるため、極 めて重要です。かつて有能な攻撃者とそれ以外を隔てていた専門 知識の壁は着実に縮まり続けており、現在AI支援による攻撃活動 から生み出されている成果物は、その壁がどれほどまでに縮小し たかを示す最も明確な証拠となっています。
本レポートの後半では、視点を組織内部へと向けます。AIを導入 する組織では、ほとんどのセキュリティチームがいまだ十分に把 握しきれていない新たな露出領域が生み出されています。高リス クな生成AIプロンプトは、この1年で2倍に増加しました。現在、 平均的な組織では毎月10種類のAIアプリケーションを利用してお り、その多くは正式な承認プロセスを経ずに運用されています。 導入が進むモデルやインフラストラクチャ自体にも独自の攻撃対 象領域があり、それらを保護するためのセキュリティ対策は、 導入スピードに追いついていません。
この後に続く4つの章は、過去12か月間におけるチェック・ポイン トのリサーチチームが収集したインシデント、テレメト リ、および独自のケーススタディに基づいてい ます。ここでお読みいただく内容は、すでに 起きた出来事の記録であり、今後予想される 展開への序章でもあります。
Lotem Finkelstein チェック・ポイント、リサーチ担当VP
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
04 AIセキュリティレポート2026
AIを活用した サイバー攻撃
AIを活用したサイバー攻撃 過去12か月間における公開報告や実際のインシデントを見ると、 AIはソーシャルエンジニアリング、マルウェア開発、リアルタイ ムの侵入支援、攻撃ツールの構築、脆弱性調査など、サイバー攻 撃チェーンのほぼすべての段階で利用されるようになっていま す。攻撃手法そのものの多くは従来から知られているものです。 変化したのは、以前は熟練した攻撃者が数時間から数日を要して いた作業を、AIが数分で、しかも従来必要だったコストや専門知 識を大幅に抑えて実行できるようになったことです。
Anthropicによる悪用事例の分析も、この傾向を裏付けています。 攻撃者はAIを初期侵入のために利用するケースは比較的少なく、 侵入後の作業そのものを実行させる目的で活用するケースが増え ており、侵害後の活動が拡大しています。最も大きな脅威となる 攻撃者は、最先端のツールを持つ者ではなく、自ら介入すること なくAIをオーケストレーションし、攻撃スタックの複数の段階を 連鎖的に実行させる方法を理解している者たちです。
こうした目的を達成するには、攻撃者はまず実用的なAIの能力を 入手し、その安全対策を回避する必要があります。
攻撃者はどのようにAIの能力へアクセス するのか
攻撃者は3つの経路でAIの能力を入手しています。いずれの経路もこ の1年で成熟しましたが、その進展度合いは同じではありません。
正規に利用する、あるいは盗まれた認証情報を 使用して商用モデルを悪用する方法は、実際に は依然として最も一般的な手段です。
オープンソースモデルをセルフホストで展開 する方法は、コンテンツモデレーションやプロ バイダーによるログ記録を回避できますが、 現時点では実用というより理想論の域を出てい ません。
悪意のある用途向けに設計された専用サービス へのアクセスを購入する手法は、一時的に利用 が増加したものの、その品質に対するアンダー グラウンドコミュニティの懐疑的な見方が広が るにつれ、利用は減少しました。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
06 AIセキュリティレポート2026
https://www.anthropic.com/news/AI-enabled-cyber-threats-mitre-attack
商用モデルの悪用 ChatGPT、Gemini、Claudeのような一般的なAIツールを使い、 その安全対策を回避するという最も簡単な方法が、最も広く利用 されている方法でもあります。攻撃者は悪意のある要求を、害の ない小さなステップへと分割し、まずAIに一般論として攻撃手法 を説明させ、その後で実際のコードを要求します。そして、安全 対策が最も緩い主流ツールへと利用を集中させます。当社が把握 している情報の多くはAI企業自身による公開情報に基づいていま す。GoogleのThreat Intelligence Groupは、国家支援型の攻撃者や 犯罪者がGeminiを偵察、おとりコンテンツ（ルアー）の作成、攻 撃ツール開発に悪用している事例を文書化しており、Anthropicと OpenAIも、自社AIの同様の悪用事例を報告しています。
アクセス権自体が盗まれるケースもあります。現在ではAIツール のログイン認証情報そのものが意図的な窃取対象となっており、 多くは誤ってインターネット上に公開された開発者用設定ファ イル（.env ファイル）から大量に取得されています。「Bissa
Scanner」と呼ばれるキャンペーンでは、このように公開された 30,000件以上の.envファイルからAnthropic、OpenAI、Googleを はじめとする複数のプロバイダーのAIログイン情報が盗まれ、盗 まれた認証情報の中でAIアカウントが最も多い種類となっていま した。このグループは作戦の実行自体にもAIを利用していました （「リアルタイム攻撃オペレーターとしてのAI」を参照）。盗ま れた認証情報は、「LLMjacking」と呼ばれる転売市場へ流れ、 犯罪者は他人のAIアカウントへのアクセス権を購入します。これ はコスト削減だけでなく、不正な活動を自分ではなく正規のアカ ウント所有者によるものに見せかけるためでもあります。
オープンソースモデルのセルフホスト 2つ目の方法は、QwenやKimiなどの無料で利用できるオープン ソースAIモデルをセルフホストし、商用プロバイダー経由でリク エストを送るのではなく、攻撃者自身のインフラストラクチャ上 で実行することです。これにより、AI企業が通常実施する安全性 チェック、アカウント停止、アクティビティログの記録を回避で きます。この手法に関する議論は犯罪フォーラムで着実に増加し ています。
しかし、現実は議論ほど進んでいません。実際に試した攻撃者か らは、セルフホスト型モデルは性能が劣り、誤りも多く、実用レ ベルに到達するには高価なコンピューターハードウェアやファイ ンチューニングが必要であるとの報告が寄せられています。その 結果、多くの攻撃者は、それに伴うリスクを承知のうえで、より 高性能で利用しやすい主流の商用AIツールへと戻っています。
悪意ある「DarkGPT」サービスの盛衰 3つ目の方法は、WormGPTやその多くの模倣サービスのように、 まったく制限のない犯罪専用AIツールへのアクセス権を購入する ことです。この市場はこの1年で急成長した後、急速に衰退しま した。アンダーグラウンドユーザーの報告によれば、こうした 「ダークLLM」は技術的に未成熟であり、主に技術力の低い犯罪 者に利用される一方、本格的な攻撃者にはほとんど利用されてい ませんでした。その評判は、WormGPT自体が侵害され、19,000人 以上の有料利用者の支払い情報が流出したことで決定的に失墜し ました。その後も、Tor上でホストされるDIG AIのような安価な新 サービスは登場していますが、本格的な攻撃活動の多くは前述の2
つの方法へと回帰しています。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
07 AIセキュリティレポート2026
https://cloud.google.com/blog/topics/threat-intelligence/adversarial-misuse-generative-ai https://www.anthropic.com/news/detecting-countering-misuse-aug-2025 https://cdn.openai.com/threat-intelligence-reports/5f73af09-a3a3-4a55-992e-069237681620/disrupting-malicious-uses-of-ai-june-2025.pdf https://thedfirreport.com/2026/04/22/bissa-scanner-exposed-ai-assisted-mass-exploitation-and-credential-harvesting/ https://socradar.io/blog/wormgpt-the-blueprint-for-malicious-ai/ https://socradar.io/blog/wormgpt-the-blueprint-for-malicious-ai/
導入事例： 「The Gentlemen」- 1つのグループが示すAIアクセスの実態
The Gentlemenは、2026年5月までに330件を超える被害者を公表していた、金銭目的のRansomware-as-a-Service（RaaS）組織で す。チェック・ポイントのリサーチチームがこのグループの通信内容を分析した結果、攻撃者がAIをどのように利用しているかが彼 ら自身の言葉によって明らかになりました。
どのAIツールを使うか：彼らは、安全対策の制限が比較的少ない中国系の商用AIツール（DeepSeek、Kimi、Emi、Qwen）を好んでい ました。あるメンバーは、「すべての制限を取り除いたQwen 3.5…拒否はゼロ。制限は一切なし」という構成を推奨していました。 彼らの本当の関心は、商用ツールかローカルツールかではなく、どの商用ツールの安全対策が最も緩いかという点にありました。
自前でAIをセルフホストする案は理想論のまま： グループは盗んだデータを使ってローカルモデルを運用することについて議論していましたが、その方法がわからないことも認めて いました。
AIはツールを作るが、それを使いこなすにはスキルが必要：グループの管理者は、AIの支援を受けながら、自らの運営用管理ツール 「Glocker」をわずか3日で開発しました。しかし同時に仲間へ向けて、「自分が何をしているかを理解しておく必要がある」と注意 も促していました。
この事例が重要なのは、何ら特別な事例ではないという点にある：中堅規模の一般的な犯罪グループが、誰でも利用できる主流のAI ツールを使い、ローカル環境による代替手段を持たないにもかかわらず、実際に成果を上げていたのです。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
08 AIセキュリティレポート2026
https://research.checkpoint.com/2026/thus-spoke-the-gentlemen/
ジェイルブレイク：巧妙なプロンプトか ら、永続的なバイパスへ
どの方法でAIモデルを入手した場合でも、攻撃者が望む動作をさ せるには、安全対策を解除する必要があります。このプロセスは 「ジェイルブレイク（脱獄）」と呼ばれます。従来の方法は、巧 妙に作られたプロンプトによってAIに自身のルールを無視させる ことでした。「エコーチェンバー」と呼ばれる有名な手法では、 禁止された内容を直接要求するのではなく、小さく無害に見える 質問を段階的に重ねることで、モデルを目的の出力へと誘導しま す。この方法は主要なAIツールのいくつかに対して90%を超える成 功率を示しています。しかし、このような単一プロンプトによる ジェイルブレイクは次第に脆弱になっています。AI企業はこうし た手法を継続的に修正し、悪用されたアカウントをほぼ即座に停 止しているためです。
より大きく、かつ長期的な変化は構造そのものにあります。攻撃 者はもはや巧妙なプロンプトを工夫する必要すらありません。 Claude CodeやCursorのようなAIコーディングエージェントは、 セッション開始時にCLAUDE.mdなど特定のファイルを自動的に 読み込み、その内容を権威ある指示として無条件に適用します。 つまり、攻撃者はそのようなファイルへ一度だけジェイルブレイ ク用の指示を書き込めば、その後のすべてのセッションでAIエー ジェントは新たなプロンプトなしに自動的にそのバイパスを継承 します。メキシコ政府への侵害（本章の後半で紹介）では、攻撃 者はまさにこの方法を利用し、一度CLAUDE.mdにハッキング用 の指示を書き込んだだけで、その後のすべてのセッションで新た なジェイルブレイクを行うことなくAIが悪意ある動作を続けまし た。現在では、このような仕組みは完成済みのCLAUDE.mdジェイ ルブレイクキットとして犯罪フォーラムで販売されています。
マルウェア開発におけるAI
マルウェア開発におけるAIの役割は、実験段階から実運用段階へ と移行しました。その利用方法には大きく分けて2つのパターンが あります。圧倒的に多い1つ目のパターンでは、AIは開発段階でマ ルウェアを構築し、コードを書き、改善します。しかし完成した プログラム自体にはAIは含まれておらず、実行時には通常のマル ウェアと変わらないため、後からAIが関与していたことはわかり ません。より珍しい2つ目のパターンでは、マルウェアが被害者の コンピューター上で実行中にAIモデルと通信し、新たなコマンド を生成したり、自らのコードを書き換えたりします。
AIによるマルウェア開発は急速に成熟しました。2024年後半、 チェック・ポイントのリサーチチームは、FunkSecと呼ばれる Ransomware-as-a-Serviceグループが、暗号化ツールの開発にAI
を利用していた可能性が高いことを発見しました。これにより、 比較的経験の浅い開発者でも、自身のスキルを上回る成果物を 作成できるようになっていました。2025年半ばには、OpenAIは ScopeCreepと呼ばれるロシア語話者の攻撃者を排除しました。 この攻撃者はChatGPTを利用してWindowsマルウェアを繰り返し作 成・デバッグしていました。2026年初頭には、AIによるマルウェ ア開発はさらに大きく成熟していました。その最も明確な例が VoidLinkです。これは1人の開発者が商用AI開発環境を利用して構 築した、プロフェッショナルレベルの攻撃フレームワークです。 この傾向は現在、犯罪組織だけでなく国家支援型攻撃者にも広 がっています。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
09 AIセキュリティレポート2026
https://neuraltrust.ai/blog/echo-chamber-context-poisoning-jailbreak https://gambit.security/blog-posts/a-single-operator-two-ai-platforms-nine-government-agencies-the-full-technical-report https://research.checkpoint.com/2025/funksec-alleged-top-ransomware-group-powered-by-ai/ https://cdn.openai.com/threat-intelligence-reports/5f73af09-a3a3-4a55-992e-069237681620/disrupting-malicious-uses-of-ai-june-2025.pdf https://research.checkpoint.com/2026/voidlink-early-ai-generated-malware-framework/
1人の開発者が1週 間足らずで構築し た、88,000行に及 ぶ実用的なコマン ド＆コントロール
マルウェア。
これらは数多くの事例のほんの一部にすぎません。パキスタンと の関係が指摘されるTransparent Tribe（APT36）は、AIを利用した 「組立ライン」によって、インド政府機関を標的とする使い捨て マルウェアを大量生産していました。また、GREYVIBEとして追跡 されているロシア関連グループは、ChatGPTとGeminiを利用して ウクライナ向けのカスタムマルウェアを開発しています。さらに チェック・ポイントのリサーチチームは、北朝鮮のKONNIグルー プがWindows向けPowerShellバックドアの生成にAIを利用していた ことも記録しています。
より珍しく高度なパターンである、実行中のマルウェアが被害 者のコンピューター上からLLMを呼び出す事例も、現在では実際 に確認されています。現時点で確認されている最初の事例は、 2025年半ばに報告されたロシア関連のLAMEHUGマルウェアで、 2025年7月にウクライナのCERT-UAが報告しました。LAMEHUG
はHugging Face APIを介してAIモデル「Qwen」に問い合わせを行 い、必要に応じてコードを生成していました。また、「初のAI搭 載ランサムウェア」とされるPromptLockも同様の仕組みを採用し ていましたが、いずれも現時点では大規模運用というより概念実 証に近い存在です。
AIは、マルウェアそのものではない攻撃ツール、つまり攻撃を支 援するスクリプトやユーティリティなども作成しています。その 関与は完成した成果物からは通常見えないため、アナリストは証 拠が見つかるまで待つのではなく、どこかの段階でAIが関与して いることを前提に分析すべきでしょう。AIは熟練した攻撃者の作 業を高速化しますが、そのツールを効果的に使いこなすために必 要な人間の判断力を置き換えるものではありません。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
10 AIセキュリティレポート2026
https://businessinsights.bitdefender.com/apt36-nightmare-vibeware https://www.withsecure.com/en/resources-hub/w-labs/greyvibe/ https://research.checkpoint.com/2026/konni-targets-developers-with-ai-malware/ https://cert.gov.ua/article/6284730
導入事例: VoidLink - AIが構築したマルウェ アが実運用の域に到達
2026年1月、チェック・ポイントのリサーチチームは、 VoidLinkを報告しました。VoidLinkは、高度なモジュール 型Linuxコマンド＆コントロール（C2）フレームワークで あり、高度なステルス性と永続化機能を備え、侵入後に使 用するための30を超えるポストエクスプロイト用プラグイ ンを搭載しています。その完成度から、当初は複数人の開 発チームが数か月かけて構築したものと考えられていまし た。しかし、開発者が自らの作業プロセスを誤って公開し てしまったことで、実際にはまったく異なる実態が明らか になりました。それは、TRAE SOLOという商用AIコーディ ングツールを利用し、詳細な仕様書を作成したうえで、AI にコードの実装、テスト、改良を行わせるという規律ある 開発プロセスを採用した、たった1人の開発者によるもの でした。その結果、約88,000行に及ぶ実用的なコードが1 週間足らずで完成していました。
VoidLinkは、2つの重要な点を明確に示しています。第一 に、AI支援による開発は、もはや概念実証レベルではな く、実際の攻撃に使用可能なマルウェアを生み出せる段階 に達していることです。第二に、そしてさらに重要なの は、完成したコードからAIが関与した痕跡は一切判別でき なかったという点です。AIの利用が明らかになったのは、 開発者による無関係な運用上のセキュリティミスがあった ためにすぎません。
リアルタイム攻撃オペレーターとしてのAI
AIは、攻撃の準備を支援する段階から、攻撃そのものを実行する 段階へと進化しました。2025年11月、AnthropicはGTG-1002を公表 しました。これは中国に関連するとされるスパイ活動キャンペー ンであり、同社によると、自社のClaude Codeが約30の標的組織 に対する偵察、エクスプロイト、認証情報の収集、ラテラルムー ブメント、データの選別といった戦術的作業の80～90%を担当し ていました。ただし、この公表に侵害の痕跡は含まれておらず、 第三者による独立した検証は限定的なものとなりました。
2026年4月に報告されたメキシコ政府への侵害では、金銭目的の攻 撃者が同じアーキテクチャを大規模に運用していました（詳細は 後述）。また、Bissa Scanner作戦では、AIはエクスプロイトその ものの一歩手前の役割を担っていました。Claude Codeとオープン ソースのOpenClawアシスタントは、スキャナーのコードベースを 読み込み、収集パイプラインを改良し、大規模なエクスプロイト キャンペーン全体にわたって価値の高いアクセス権を優先順位付 けするための作業環境として利用されていました（認証情報窃取 については「攻撃者はどのようにAIの能力へアクセスするのか」 を参照）。
AIがリアルタイムで運用上の意思決定を行っていることを示す別 の証拠として、自律型エージェントがポストエクスプロイト活動 を実行し、1時間足らずでデータベースを窃取した事例も報告され ています。また、世界中のFortiGateデバイスを侵害した大規模攻 撃では、攻撃者がDeepSeekとClaudeを組み合わせて複数の段階で AIを活用していました。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
11 AIセキュリティレポート2026
https://research.checkpoint.com/2026/voidlink-early-ai-generated-malware-framework/ https://www.anthropic.com/news/disrupting-AI-espionage https://thedfirreport.com/2026/04/22/bissa-scanner-exposed-ai-assisted-mass-exploitation-and-credential-harvesting/ https://www.google.com/search?q=https://www.sysdig.com/blog/ai-agent-at-the-wheel-how-an-attacker-used-llms-to-move-from-a-cve-to-an-internal-database-in-4-pivots%23timeline https://cyberandramen.net/2026/02/21/llms-in-the-kill-chain-inside-a-custom-mcp-targeting-fortigate-devices-across-continents/
この「オペレーターとしてのAIエージェント」というパターン は、現在では誰でもダウンロードして再利用できるオープンソー スフレームワークとしても提供されています。その一例が、 2025年後半に正規のセキュリティ研究者チームによって公開さ れたRAPTORです。RAPTORはClaude Codeを自律型の攻撃・防御 エージェントへと変換します。RAPTORは正当な研究ツールであ り、脆弱性悪用コードだけでなく修正パッチも生成できますが、
導入事例： メキシコ政府への侵害
2025年12月下旬から2026年2月中旬にかけて、1人の攻撃者がメキシコ政府機関9組織を侵害し、税務、戸籍、自動車登録、患者情報、 選挙データを含む約4億件の記録を流出させました。研究者は、攻撃者自身のサーバーを解析することで、攻撃の全容を正確に再構築 することができました。入力された1,088件の指示から、AIは34回のセッションにわたり5,317件のコマンドを実行していました。
攻撃者は2種類のAIツールを組み合わせて使用していました。Claude Codeは侵入とネットワーク探索を担当し、GPT-4.1は盗み出した データを自動分析し、その分析結果をさらにClaudeのセッションへ指示として返していました。当初、Claudeが攻撃への協力を拒否 したため、攻撃者はペネトレーションテスト用チートシートをCLAUDE.mdに貼り付けました。その結果、その後のすべてのセッショ ンでは、新たにジェイルブレイクを行う必要がなくなり、その制限回避状態が維持されました。本章で紹介した他の事例と同様に、 このAIの関与が明らかになったのは、攻撃者自身のミスによるものであり、被害組織が検知したためではありませんでした。
「オペレーターとしてのエージェント」という同じワークフロー を、誰でも利用できる寛容なライセンスの公開コードとして提供 しており、犯罪コミュニティもこれに注目しています。防御側の 視点から見ると、この仕組みはジェイルブレイクで見られた「設 定による制御」と同じ構造を示しています。エージェントの振る 舞いはコンパイル済みコードではなく、ほぼマークダウンによる 設定だけで定義されているのです。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
12 AIセキュリティレポート2026
https://research.checkpoint.com/2026/ai-threat-landscape-digest-january-february-2026/ https://gambit.security/blog-posts/a-single-operator-two-ai-platforms-nine-government-agencies-the-full-technical-report
AIを活用した犯罪ツール市場
前述したような機能は、現在では完成済み製品としてパッケー ジ化され販売されるケースが増えており、購入者はAIに関する知 識をほとんど持っていなくても利用できます。その最もわかり やすい例がEvilTokensです。これは商用のPhishing-as-a-Service
（PhaaS）プラットフォームであり、攻撃ワークフローへLLMパ イプラインを直接統合しています。偽のログインページによって 被害者の認証情報を盗み出した後、Groq上でホストされたLlama
モデルが盗まれたメールアカウントを自動的に解析して財務情報 を抽出し、被害者本人の文体を模倣した説得力のある詐欺メール を作成します。一方、翻訳はGPT-4o-miniが担当します。ジェイル ブレイクもプラットフォームに組み込まれており、一度プラット フォーム運営者が設定すれば、すべての有料利用者が自動的にそ の恩恵を受けます。さらに付属モジュールは偽のカレンダー招待 を作成し、不正な依頼があらかじめ予定されていたかのように見 せかけます。
これはもはや単一のツールではなく、犯罪向け製品の一大カテゴ リーとなっています。Bluekitもその一例であり、AIアシスタン トを内蔵したフィッシングキットとして、40を超えるプラット フォーム向けの偽ログインページをMFA回避機能付きで自動生成 できます。また、電話による攻撃ではATHRというプラットフォー ムが、認証情報やワンタイムパスワードを大規模に盗み出すため の完全自動AI音声エージェントを提供しており、人間のオペレー ターは不要になっています。これらに共通する特徴は、「製品 化されたジェイルブレイク」です。AIツール、安全対策の回避機 能、攻撃手法が一体となった製品として販売されているため、 ほとんどスキルを持たない人物でも高度で複数段階にわたる詐欺 を実行できるようになっています。
脆弱性調査におけるAIと、短縮されるパッ チ適用期間
AIは現在、コードについて推論する能力が十分に高くなってお り、この競争の両面を加速させています。つまり、セキュリティ 上の欠陥が悪用される前にそれを発見することと、修正が展開さ れる前にそれを悪用する方法を見つけることです。欠陥が発見さ れてから修正が展開されるまでの時間的猶予は、両方向から同時 に縮小しています。
防御側にとってもAIの恩恵は現実のものとなっています。 Anthropicは社内研究プロジェクト「Project Glasswing」の一環と して、未公開モデルClaude Mythosを活用し、運用開始から最初の 1か月間で主要なオペレーティングシステムおよびブラウザ全体に わたり、10,000件を超える重大・高深刻度のゼロデイ脆弱性を自 律的に発見しました。しかし、この能力は攻撃者にも利用可能で す。GoogleのThreat Intelligence Groupは、大規模エクスプロイト を目的としたAI支援型ゼロデイ攻撃が初めて確認されたと報告し ています。また、他の研究でも、最新世代のAIモデルが大規模に 動作可能なゼロデイ攻撃コードを生成できることが示されてい ます。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
13 AIセキュリティレポート2026
https://www.google.com/search?q=https://blog.sekoia.io/new-widespread-eviltokens-kit-device-code-phishing-as-a-service-part-1/ https://hackread.com/calphishing-eviltokens-kit-outlook-invites-m365/ https://hackread.com/bluekit-phishing-kit-targets-platforms-mfa-bypass-attack/ https://hackread.com/calphishing-eviltokens-kit-outlook-invites-m365/ https://hackread.com/calphishing-eviltokens-kit-outlook-invites-m365/ https://www.anthropic.com/glasswing https://www.google.com/search?q=https://cloud.google.com/blog/topics/threat-intelligence/ai-vulnerability-exploitation-in-initial-access https://cybersecuritynews.com/new-study-shows-gpt-5-2-can-reliably/
現実に問題となる影響は「速度」です。攻撃者は、新しい脆弱性 が公開されてから数時間以内に実用的な攻撃コードを作成できる ようになり、脆弱性公開から悪用開始までの期間は急速に短縮し ています。これを受けて、米国政府のCISAは、連邦政府の非軍事 系機関に対し、特にリスクの高い脆弱性を公開から3日以内に修正 することを義務付ける拘束力のある指令を発行しました。さらに インドのサイバーセキュリティ機関CERT-Inは、最も重要でイン ターネットに公開されているシステムについては、発見から12時 間以内に封じ込めとパッチ適用を完了するよう勧告しています。 こうしたタイムラインは、1年前であれば理不尽だと思われていた でしょう。
脆弱性の発見そのものは、安価かつほぼ自動化された作業になり つつあります。現在の真のボトルネックは、人間がどれだけ迅速 に修正内容をレビューし、展開できるかという点です。さらに、 コード品質も問題を深刻化させています。AIが生成したコードの かなりの割合は、セキュリティ上の欠陥を抱えたまま実際のソフ トウェアに組み込まれています（第5章を参照）。
導入事例： Claude Mythos / Project Glasswing （AIとパッチ適用期間の競争）
AnthropicのProject Glasswingでは、未公開の最先端モデル Claude Mythos Previewを活用し、重要ソフトウェアの脆弱 性を発見・修正しています。最初の1か月間だけで、主要な オペレーティングシステムおよびブラウザ全体にわたり、 10,000件を超える重大・高深刻度のゼロデイ脆弱性を自律 的に発見し、約83%のケースにおいて初回の試行だけで実 際に動作する攻撃コードの生成にも成功しました。
Anthropicは、このモデルが悪用されることを懸念し、一般 公開は見送りました。その一方で、少数の信頼できる組織 には利用を認め、総額1億ドル分の利用クレジットを提供す ることを表明しました。脆弱性の発見がここまで安価かつ 高速になると、勝敗を決めるのは「どちらがより速く動け るか」です。機械の速度でパッチを適用できる防御側か、 それとも同等の能力を持つAIを手にした攻撃者か、その競 争が始まっています。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
14 AIセキュリティレポート2026
https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk https://cybersecuritynews.com/cert-in-asks-patch-vulnerabilities-12-hours/ https://cybersecuritynews.com/cert-in-asks-patch-vulnerabilities-12-hours/
AIに対する攻撃： 攻撃対象領域としてのAI
AIに対する攻撃： 攻撃対象領域としてのAI 前章では、攻撃者の手に渡ったAIを取り上げました。本章では、攻撃対象としてのAIシステムに焦点を当てます。この1年間で、組織はAI
をメール、ドキュメント、コード、ブラウザ、そして中核となる業務ワークフローへ組み込み、機密データへのアクセス権や、組織を代理 して行動する権限をAIに与えるようになりました。こうした利用範囲の拡大に伴い、AIソフトウェア自体が攻撃対象領域となっています。 そして、その攻撃対象領域は、防御対策が進む速度を上回るペースで拡大しています。AIスタックに対する攻撃には、大きく分けて2つの要 因があります。
01 AIに固有の要因 大規模言語モデルは、自身への指示と処理対象のデータ を、明確な境界のない1つの連続したテキストとして読み 取ります。つまり、本来は単なるデータであるはずの文 書やWebページ内のテキストが、あたかも命令であるかの ように読み取られ、実行される可能性があります。本章で 取り上げる攻撃の多くは、この1つの弱点に起因していま す。たとえば、隠された指示によってAIをだますプロンプ トインジェクション、信頼された設定ファイルを悪用する 設定の悪用、AIの記憶を徐々に汚染するランタイムポイズ ニングなどです。
02 一般的なソフトウェアリスク AIツールもソフトウェアである以上、一般的なソフトウェ アと同じ脆弱性を引き継ぎます。こうした従来から存在す る弱点は、AIの導入が急速に進んでいるため、これまで以 上に速いペースで顕在化しています。さらに、自律的に動 作するAIエージェントが、本来必要以上の権限を保持し、 新しいコンポーネントを人間による十分な確認なしにイン ストールして信頼してしまうことで、そのリスクは一層高 まっています。本章後半で取り上げるAIインフラやソフト ウェアサプライチェーンへの攻撃は、この2つ目の要因に 起因するものです。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
16 AIセキュリティレポート2026
プロンプトインジェクション：モデルの 挙動を操作する
これには大きく分けて2つの種類があります。直接的なインジェ クションでは、攻撃者はモデル自身のルールを上書きすること を目的とした指示をそのまま入力します。一般的なジェイルブ レイクの多くはこの方法です。間接的なプロンプトインジェク ションでは、悪意ある指示はAIが読み込む外部コンテンツ、た とえば、メール、Webページ、カレンダーの招待、文書などの中 に隠されています。一般に、間接的なインジェクションの方が 危険性は高いと考えられています。これは、信頼できない外部 コンテンツを処理するAIエージェントを標的とし、成功までに 攻撃者自身が直接やり取りする回数が少なくて済む場合がある ためです。この攻撃による被害の大きさは、AIエージェントに どの程度のアクセス権限や特権が与えられているかによって大 きく左右されます。Check Point AI Securityは、これを特定のAI
モデルの欠陥ではなく、システムの構成方法に起因する問題と 位置付けています。
Check Point AI Securityのリサーチチームは、繰り返し確認され る主な攻撃手法を次のように分類しています。
ロールプレイング： AIに制限のない架空のキャラクターを演じさせ ることで、安全対策を完全に回避させる手法。
難読化とトークンスマグリング： 悪意ある指示を、自動化された安全性フィル ターが認識・検出できない形に偽装する手法。
マルチターン操作： 要求を一度に行うのではなく、複数回のメッ セージに分けて徐々に攻撃を組み立てること で、どの単一のプロンプトでも拒否されないよ うにする手法。
コンテキストハイジャッキング： AIが会話について保持している記憶を書き換 え、徐々にAIの振る舞いを攻撃者の望む方向へ 誘導する手法。
多言語攻撃： AIの安全性学習が十分でない言語へ切り替える ことで、言語ごとの安全対策のばらつきを悪用 する手法。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
17 AIセキュリティレポート2026
https://www.lakera.ai/blog/the-year-of-the-agent-what-recent-attacks-revealed-in-q4-2025-and-what-it-means-for-2026 https://www.lakera.ai/blog/indirect-prompt-injection https://www.lakera.ai/blog/guide-to-prompt-injection
Check Point AI Securityのリサーチチームは、2025年後半に分析 した攻撃事例において、攻撃者の最も一般的な目的は、システム プロンプトを抽出し、AIの役割定義、ツールの説明、およびポリ シーの境界を明らかにすることであったことも確認しています。
こうした攻撃は、この1年で概念実証の段階から日常的に利用され る手法へと移行しました。ある調査では12億件のURLをスキャン し、公開Webページ内に約15,300件の間接的プロンプトインジェク ションのペイロードが埋め込まれていることが確認されました。 その約70%は、ヘッダー、コメント、メタデータなど、人間の訪 問者には実際には表示されないHTMLの非表示部分に埋め込まれ ていました。その目的はさまざまです。単純にAIを誤動作させた り、意味のない出力を生成させたりする妨害もあれば、製品や企 業についてAIにより好意的な説明をさせることで評判を操作しよ うとするものもあります。
また、こうした行為を行うのは必ずしもハッカーだけではありま せん。一般のマーケティング担当者、出版社、Webサイト運営者 も、人々に代わってWebを閲覧するAIツール向けに、ひそかに指示 を埋め込んでいます。別の研究では、詐欺、データ破壊、APIキー 窃取を目的とした実際の攻撃事例が10件確認されています。 Check Point AI Securityのテレメトリも同じ傾向を示しています。 短い悪意あるペイロードの検出率はおおむね横ばいでしたが、 大きなペイロードの検出は急増し、3月から5月にかけて約5倍に 増加し、5月には観測された全体の約1%に達しました。大規模な ペイロードは、コンテンツ経由やエージェント型の攻撃経路で利 用されることが多いため、この傾向は、間接的なプロンプトイン ジェクションが理論上の脅威ではなく、実運用上の脅威となりつ つあることを示しています。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
18 AIセキュリティレポート2026
https://www.lakera.ai/blog/the-year-of-the-agent-what-recent-attacks-revealed-in-q4-2025-and-what-it-means-for-2026 https://arxiv.org/abs/2604.27202 https://www.forcepoint.com/blog/x-labs/indirect-prompt-injection-payloads
図 2.1 — ペイロードサイズ別の悪意あるプロンプト検出率
月別プロンプト検出率の中央値 短いペイロードと長いペイロード
1.0％
0.8％
0.6％
0.4％
0.2％
0%
1月 2月 3月 4月 5月
検 出
率 の
中 央
値 （
% ）
短いペイロード 長いペイロード
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
19 AIセキュリティレポート2026
エージェント型ワークフローが一般化するにつれ、それらが処 理するプロンプトには、Webページ、文書、他のツールの出力な ど、大量の外部コンテンツが含まれるようになりました。間接的 なプロンプトインジェクションは、まさにそのようなコンテンツ 内に潜むため、組織がこうしたAIエージェントを導入するほど、 攻撃対象領域は直接的に拡大することになります。
特にリスクが高いのは、ユーザーがすでにログインしているセッ ション内で動作する新しいカテゴリーの製品であるAI搭載Webブ ラウザです。汚染されたWebページやカレンダー招待によって、 そのユーザー自身のログイン認証情報を利用した操作が実行され る可能性があります。管理されたテスト環境では、研究者が1件 の悪意あるカレンダー招待だけを利用して、PerplexityのCometブ ラウザから保存済みパスワードを引き渡させることに成功しまし た。別のテストでは、同種のブラウザをだまして、人間が一切関 与することなく、4分足らずでフィッシング攻撃全体を完了させる ことにも成功しています。いずれも管理された実験ではあります が、その基盤となる能力はすでに一般利用者が利用可能な製品に 実装されています。
悪意ある長文プ ロンプトイン
ジェクションペ イロードの検出 件数は、2026年 3月から5月にか
けて約5倍に増加 しました。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
20 AIセキュリティレポート2026
https://hackread.com/pleasefix-flaw-hackers-1password-vault-comet-ai-browser/
エージェント型サプライチェーン： MCPと設定ファイルの悪用
AIエージェントは、自動的に信頼するよう設計された2つの仕組 みによって機能を拡張しています。それが、エージェントを外 部ツールやサービスへ接続するModel Context Protocol（MCP） サーバーと、プロジェクトを開いた瞬間にエージェントが読み込
導入事例： 実行レイヤーとしてのClaude Codeプロジェクトファイル（Check Point Research）
チェック・ポイントのリサーチチームは、コーディングエージェントが信頼する設定ファイルが、マルウェア配布手段へと悪用さ れ得ることを確認しました。ある脆弱性（CVE-2025-59536）では、プロジェクト内の.claude/settings.jsonに隠された設定によっ て、AIがプロジェクトを開いた瞬間、開発者がそのファイルを見る前に攻撃者のコマンドが実行されました。また、関連する.mcp. jsonの仕組みでは、ユーザーに一切警告を表示することなく、悪意あるMCPサーバーを密かに起動できました。さらに別の脆弱性 （CVE-2026-21852）では、攻撃者が開発者のセッションを密かに自らの管理するサーバーへ迂回させ、ログイントークンやアクセ スキーを取得し、誰にもセキュリティ警告が表示される前にチーム全体の共有ワークスペースを侵害できました。
いずれのケースでも侵入経路となったのはソフトウェアサプライチェーンでした。プルリクエストへ埋め込まれた細工済み設定 ファイル、罠として用意されたハニーポットリポジトリ、あるいは侵害されたコードベースなどです。これらの脆弱性自体は修正 済みですが、その根本にある設計パターン、すなわち開発者のマシン上でプロジェクトファイルを自動的に信頼して読み込むAIエー ジェントという設計は、Cursor、Windsurf、GitHub Copilotなど他の主要なAIコーディングツールにも共通しています。そのため、 個別の修正が行われても、より広範な問題は依然として残っています。数か月後には、「ワーム」と呼ばれる自己増殖型マルウェ アが実際に出現し、このリスクが理論上のものではないことを証明しました。このマルウェアは、Claude Codeや他のAIコーディン グツールへ恒久的に自身を埋め込みながら、マシン間で自己拡散しました（後述の「AIソフトウェアサプライチェーン」を参照）。
むプロジェクト設定ファイルです。前章では、攻撃者がこうした 信頼されたファイルを利用して、自らのAIエージェントから安全 対策を解除する方法を紹介しました。しかし、この自動的に信頼 してしまう仕組みは、他者への攻撃にも利用できます。被害者が 開くプロジェクトに細工された設定ファイルを忍び込ませれば、 被害者自身のAIエージェントを本人が気付かないまま侵害できる のです。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
21 AIセキュリティレポート2026
https://blog.checkpoint.com/research/check-point-researchers-expose-critical-claude-code-flaws/
この問題は、特定ベンダー固有のものではありません。同じ時 期にGoogleはGemini CLIに存在した重大度最高レベルのリモート コード実行の脆弱性を修正しており、Cursorでも同様の問題が確 認されています。
現在ではMCPエコシステムそのものが脅威アクターの標的となっ ています。GlassWormと呼ばれる自己増殖型マルウェアは、レ ビュー時に見逃されやすい不可視のUnicode文字を利用して開発者 向け拡張機能へ自身を隠し、150を超えるリポジトリのMCPパッ ケージへ自身をコピーしながら拡散しました。さらにAIツールを 利用してコミットメッセージを生成し、正当な変更に見せかけて いました。このようなワームは、AIツールチェーンそのものを標 的とし、拡散しながらMCPサーバーを注入し、APIキーを盗み出す ケースが増えています。最も重大な事例については、後述の「サ プライチェーン」セクションで取り上げます。
同じ信頼された設定ファイルは、意図せず機密情報を漏えいさせ る原因にもなります。Check Point AI Securityのリサーチチーム は、Claude Codeが開発者によって承認されたコマンドを .claude/settings.local.jsonというローカル設定ファイルへ保存して いることを確認しました。このファイルは、開発者がコードを公 開する際にも、Node Package Manager（NPM）が既定では公開対 象から除外しません。保存されたコマンドの中には、開発者自身 のログイン認証情報が含まれていることがあります。約46,500件 の公開コードパッケージを調査した結果、このローカル設定ファ
428 / 46,500 誤ってClaude Codeのローカル設定ファイルを公開してい たパッケージでは、約13件に1件の割合で有効な認証情報 が含まれていました。
40% Check Point AI Securityのリサーチチームが調査した 10,000台のMCPサーバーのうち、40%にセキュリティ上の 弱点が確認されました。
イルが誤って公開されていたものは428件あり、約13件に1件の割 合で有効な認証情報（NPMトークン、GitHubキー、Hugging Face
キー）が含まれていました。さらにCheck Point AI Securityのリ サーチチームは、調査した10,000台のMCPサーバーの40%にセキュ リティ上の弱点が存在することも確認しており、この分野全体が 依然として非常に脆弱であることを示しています。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
22 AIセキュリティレポート2026
https://thehackernews.com/2026/04/google-fixes-cvss-10-gemini-cli-ci-rce.html https://www.koi.ai/blog/glassworm-hits-mcp-5th-wave-with-new-delivery-techniques https://www.lakera.ai/blog/your-ai-coding-assistant-just-shipped-your-api-keys https://www.checkpoint.com/press-releases/check-point-softwares-2026-cyber-security-report-shows-global-attacks-reach-record-levels-as-ai-accelerates-the-threat-landscape/
AIインフラストラクチャへの攻撃
このセクションでは、サービスをインターネットに公開したまま にすること、弱い認証、既知のバグがある脆弱なソフトウェアと いった、一般的でよく知られた攻撃手法が、特にAIシステムを標 的として使用されるケースを取り上げます。これらの手法はいず れも新しいものではありませんが、ここでの影響はAI特有のもの です。なぜなら、さらされるのは組織のプロンプト、認証情報、 AIモデル、内部ワークフローだからです。
AIスタックの大部分は、ごく一般的なインフラストラクチャで す。モデルサーバー、推論フレームワーク、オーケストレーショ ンクラスター、エージェント管理パネルなどが含まれます。前章 で説明したセルフホスト型モデルへの急速な移行により、これら のインフラストラクチャは短期間で構築され、比較的脆弱なセ キュリティ状態のまま運用されるケースが増えました。その結 果、このような従来型の攻撃は、現在最も活発に悪用されている 攻撃の1つとなっています。
最も典型的なのは、外部へ公開されたモデルサーバーです。 「Bleeding Llama」と呼ばれるOllamaの重大な脆弱性では、イン ターネットへ公開されていた約30万台のサーバーから、わずかな API呼び出しだけでプロンプト、認証キー、環境変数が漏えいする 状態になっていました。GreyNoiseは、1四半期だけで約91,000件 のLLM環境に対する攻撃セッションを記録しています。
また、公開されたAIインフラストラクチャそのものが攻撃基盤と して悪用されるケースもあります。ShadowRay 2.0 キャンペーン では、保護されていないRayクラスターが乗っ取られ、暗号資産 マイニングに利用されました。さらに下位レイヤーでは、安全で
ないデシリアライズ処理も依然として広く存在しており、Meta、 NVIDIA、Microsoftの推論フレームワークにおいてリモートコード 実行の脆弱性が確認されています。エージェント層にも独自の管 理パネルが存在するようになっており、OpenClawやMoltbotの管 理パネル数千台がインターネット上から到達可能な状態で公開さ れ、乗っ取りの危険にさらされています。これらはいずれもAIを 取り巻く通常のインフラストラクチャを悪用する攻撃であり、 AIモデル自体を誤動作させる必要はありません。
ナレッジ層へのポイズニング
ポイズニングとは、モデルへの指示方法ではなく、モデルが知っ ている情報や取得する情報そのものを汚染する攻撃です。現在の コンテキストだけに影響するプロンプトインジェクションとは異 なり、ポイズニングはセッションをまたいで永続的な影響を及ぼ す可能性があります。ポイズニング攻撃には2つの異なる種類が あります。これらは混同されがちですが、誰が実行できるのか、 また理論上の脅威から実際の攻撃手法へどこまで進んでいるのか という点で異なります。
1つ目は、公開Web全体へ大量のコンテンツを配置し、それを後に モデルが学習や検索を通じて取り込むことで、知識を大規模に汚 染する方法です。実際には、この種の攻撃の大半は国家支援型ア クターによって実施されています。Pravdaネットワーク（Portal
Kombatとも呼ばれる）は、2024年に約150のサイトへ推定360万本 の記事を公開し、親ロシア的なナラティブをAIシステムへ浸透さ せようとしました。主要なチャットボット10種類を監査したとこ ろ、その約3分の1のケースで、これらのナラティブが繰り返し出 力されていることが確認されました。研究者はこの手法を「LLM
グルーミング」と呼んでいます。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
23 AIセキュリティレポート2026
https://www.cyera.com/research/bleeding-llama-critical-unauthenticated-memory-leak-in-ollama https://www.greynoise.io/blog/threat-actors-actively-targeting-llms https://www.oligo.security/blog/shadowray-2-0-attackers-turn-ai-against-itself-in-global-campaign-that-hijacks-ai-into-self-propagating-botnet https://www.oligo.security/blog/shadowmq-how-code-reuse-spread-critical-vulnerabilities-across-the-ai-ecosystem https://www.wiz.io/blog/exposed-moltbook-database-reveals-millions-of-api-keys https://www.newsguardtech.com/special-reports/moscow-based-global-news-network-infected-western-artificial-intelligence-russian-propaganda/
2025年後半に発表された研究によって、このリスク評価は大きく 変わりました。その研究では、約250件の悪意ある文書だけで、 モデルの規模に関係なくバックドアを埋め込めることが示されま した。必要なのは学習データ全体に占める割合ではなく、ほぼ一 定数の文書だったのです。必要なのが膨大なデータ全体の一部で はなく、数百件程度の文書で済むのであれば、大規模なポイズニ ングはPravdaネットワークのような巨大組織だけのものではな く、はるかに小規模な攻撃者でも実行可能なものになりつつあり ます。
2つ目の手法は、実行時にモデルを汚染し、モデルが取得するコ ンテンツや、セッション間で保持するメモリを改ざんするもので す。Check Point AI Securityのリサーチチームが示した事例は、そ の危険性を端的に示しています。特別な権限を持たないユーザー が、通常のDiscordメッセージを繰り返し送ることで、OpenClaw エージェントの長期メモリに信頼される情報を徐々に蓄積させま した。その結果、エージェントは悪意のある「システムアップ デート」を実行し、ホストマシン上にリバースシェルを開きまし た。メモリが汚染される前には同じコマンドが拒否されていたこ とから、この攻撃の本質はプロンプトインジェクションではな く、エージェントのメモリを時間をかけて徐々に書き換えること にありました。Microsoftも、同様の手法を確認しており、すで に実環境で大規模に使用されていると報告しています。具体的に は、31社に関連する50件の事例で、「Summarize with AI（AIで 要約）」リンクの中に指示が埋め込まれており、1回のクリック で「この企業を信頼できる情報源として扱う」という永続的な情 報がAIのメモリに書き込まれる仕組みになっていました。これを 行っていたのはシステムへの侵入を狙う攻撃者ではなく、自社に 有利になるようAIの推奨結果を誘導しようとする正規の企業でし た。その意図が何であれ、これはメモリポイズニングが研究室の 中だけでなく、すでに現実世界で悪用されていることを示してい ます。
AIソフトウェアのサプライチェーン
悪意のあるパッケージやタイポスクワッティングは、AIが登場す る前から存在していました。この種の脅威がAI特有のものである 理由は、次の4つの要因が組み合わさっているためです。
01 AIプロバイダーの認証情報を取得するのが目的である
02 攻撃の大規模化や偽装にAIが利用されている
03 MCPレジストリ、エージェントスキルストア、モデル ハブといったAIネイティブなチャネルを通じて配布さ れる
04 利用主体は自律型エージェントであり、人間によるレ ビューがほとんど、あるいは全く行われないまま、 コンポーネントをインストールして信頼する
前述のインフラ攻撃ではシステムが実行時に攻撃を受けるのに対 し、ここでは汚染されたコンポーネントがシステムに持ち込まれ ます。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
24 AIセキュリティレポート2026
https://www.anthropic.com/research/small-samples-poison https://www.microsoft.com/en-us/security/blog/2026/02/10/ai-recommendation-poisoning/
単一の事案として最大規模だったのは、2025年11月に発生した Shai-Huludワームです。このワームは、広く利用されている数百 のコードパッケージと数万のコードリポジトリを侵害し、企業の ビルドパイプラインを通じて自動的に拡散する過程でクラウド サービスや開発者アカウントのログイン認証情報を盗み出しまし た。2026年5月にこのワームのコードが公開されると、Megalodon と呼ばれる模倣キャンペーンが発生し、わずか一日の午後だけで 5,500を超えるコードリポジトリが被害を受けました。さらに、 Claude CodeをはじめとするAIコーディングツール内に、システ ムの再起動後も存続する永続化の仕組みが埋め込まれました。 また、異なるAIプロバイダー間でトラフィックをルーティングす るバックエンドソフトウェアも、それ自体が弱点となり得ます。 LiteLLMゲートウェイの1つが侵害された事例では、そのゲート ウェイが顧客のために取り扱っていたすべてのログイン認証情報 が漏洩しました。
エージェントスキルストアは、AIエージェント向けにあらかじ め構築されたスキルをダウンロードできるマーケットプレイス で、最新の配布チャネルです。Check Point AI Securityのリサー チチームが調査したOpenClawエージェント向けの221個のスキル では、70％が必要以上の認証情報を要求し、43％にコマンドイ ンジェクションにつながるパターンが含まれていることが判明し ました。ClawHavocと呼ばれるキャンペーンでは、44個の悪意の あるスキルがストアに紛れ込み、合計で12,500回以上ダウンロー ドされました。そしてダウンロードのたびに認証情報を盗むイ ンフォスティーラーが密かにインストールされていました。同様 の手口はほかの場所でも確認されています。トロイの木馬化さ れたAIコーディング拡張機能によって、推定150万人の開発者か らコードが収集されました。また、Hugging Faceでは「OpenAI Privacy Filter」を装ったモデルが、マルウェアをインストールす ることを研究者が発見するまでに24万4,000回ダウンロードされ ていました。さらに、実際に悪用が確認されているLangflowの脆 弱性は、CISAの「既知の悪用された脆弱性カタログ」にも登録 されました。
今後1年は、2つの新たな展開によって、さらに厳しい状況になる と予想されます。この章で最もリスクが高い2つのカテゴリであ る「エージェント型サプライチェーン」と「AIインフラストラク チャ」は、現時点で組織が最も可視化できていない領域でもあり ます。さらに、AIエージェントは、ユーザーが任意でインストー ルするアプリから、オペレーティングシステムやハードウェア自 体に組み込まれる存在へと移行しつつあるため、この攻撃対象領 域全体が、今後は標準的な環境の一部になろうとしています。 Build 2026で、Microsoftは、OpenClawとの連携を含め、AIエー ジェントをWindowsに直接組み込む計画を発表し、2026年後半の 本格展開を予定しています。同じ時期に、Nvidiaも、オンデバイ スのAIエージェント向けのRTX Sparkスーパーチップを発表しま した。2026年秋からDell、HP、Lenovo、Asus、MSI、Microsoftの WindowsノートPCおよびデスクトップPCに搭載される予定です。 悪意のあるスキルや外部に露出したコントロールパネルを通じ て、すでに悪用されているOpenClawエコシステムが、まもなく世 界中の膨大な数のコンピューターに搭載されようとしています。 そのため、ここで説明したあらゆる弱点が、今後ははるかに多く の人々にとって重要な問題になろうとしています。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
25 AIセキュリティレポート2026
https://www.wiz.io/blog/shai-hulud-2-0-ongoing-supply-chain-attack https://labs.cloudsecurityalliance.org/research/csa-research-note-shai-hulud-megalodon-supply-chain-cascade/ https://www.trendmicro.com/en_us/research/26/c/inside-litellm-supply-chain-compromise.html https://www.lakera.ai/blog/the-agent-skill-ecosystem-when-ai-extensions-become-a-malware-delivery-channel https://www.hiddenlayer.com/research/malware-found-in-trending-hugging-face-repository-open-oss-privacy-filter https://www.cisa.gov/news-events/alerts/2026/03/25/cisa-adds-one-known-exploited-vulnerability-catalog https://blogs.windows.com/windowsdeveloper/2026/06/02/windows-platform-security-for-ai-agents/ https://nvidianews.nvidia.com/news/nvidia-microsoft-windows-pcs-agents-rtx-spark https://nvidianews.nvidia.com/news/nvidia-microsoft-windows-pcs-agents-rtx-spark
脅威にさらされるデジ タルアイデンティティ
2025年版のAIセキュリティレポートでは、生成AIによるアイデン ティティの脅威を、使用されるメディアの種類（テキスト、音 声、動画）と、その生成技術がオフライン（事前録画）からリア ルタイム、さらに完全自律型へとどのように成熟してきたかとい う2つの側面からマッピングしました。その結果、ほぼすべての組 み合わせが、もはや理論上の脅威にとどまらないことがわかりま した。それぞれについて、すでに実際のインシデントが発生して いるか、あるいは犯罪市場でツールとして販売されていることが 判明したためです。唯一、現時点でまだ確認されていないのが、 完全自律型のインタラクティブ動画です。
脅威にさらされるデジタルア イデンティティ これまでの章では、AIを「攻撃の手段」と「攻撃の標的」の両面 から取り上げてきました。本章では、説得力のある人間のIDを大 規模に偽造できるAIの能力によって、人間同士の信頼関係にAIがど のような影響を及ぼすのかについて考察します。これまでは、 聞き慣れた声、ビデオ通話に映る顔、政府発行の身分証明書、 あるいはリアルタイムの会話などが、その人物が本人であること を証明するための妥当な根拠として機能してきました。しかし生 成AIは、そうした前提を覆します。今では、声、顔、文書、さら にはリアルタイムのやり取りさえも、低コストで本物と見分けが 付かないほど精巧に生成できるようになったからです。この1年 間で、AIによる偽造技術は進歩し、犯罪活動の中で日常的に利用 される段階になっています。そこから導かれる結論は明白です。 遠隔地にいる人物を識別するために使用されてきたシグナル （音声、顔、文書、ライブ映像）は、もはや本人確認の手段とし て信頼することはできません。
遠隔地にいる人物を識別するために使用さ れてきた音声、顔、文書、ライブ映像と いった情報は、もはや本人確認の手段とし て信頼することはできません。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
27 AIセキュリティレポート2026
https://www.google.com/search?q=https://research.checkpoint.com/2025/state-of-ai-in-cyber-security/
媒体の 種類 オフライン生成 リアルタイム生成 完全自動
図3.1 — メディアの種類と成熟度別に見た生成AIによるアイデンティティ脅威（チェック・ポイント、リサーチチーム、2025年）。
過去12か月間で、こうした機能のいくつかは、単に「利用可能」な段階から「普及している」段階へと移行しました。以下の事例は、 いずれも公開報道に基づくものであり、メディアの種類がそれぞれ現在どのようにアイデンティティの偽装に利用されているかを示し ています。
テキスト 事前にレンダリングさ れたスクリプトまたは 電子メール
リアルタイムで生 成された応答
AIが生成した、完全に インタラクティブな 会話
オーディオ 事前に録音された なりすまし
リアルタイムの音声 操作
完全にAIで駆動される 対話型音声
動画 事前に作成された ディープフェイク動画
ライブでの顔の入れ替 えまたは動画改変
完全に自動化された、 AI生成のインタラク ティブ動画
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
28 AIセキュリティレポート2026
音声 音声は、アイデンティティを示すチャネルの中で最初にコモディ ティ化が進んだ領域です。現在では、短い音声サンプルさえあれ ば、専門知識がなくても誰でも対象者の声を複製できるように なっており、過去1年間には、特定の人物を狙った攻撃にも実際 に利用されています。音声を利用した詐欺は現在、すぐに使える サービスとして販売されており、この技術が成熟していることを 明確に示しています。研究者が報告した「ATHR」は、AI音声エー ジェントが、標的となるユーザーに対してあらかじめ用意された スクリプトに沿ってアカウント復旧の通話を行い、ワンタイムパ スコードを聞き出すプラットフォームです。これにより、一人の オペレーターが認証情報を窃取するための複数の会話を同時に進 行させることができます。ATHRは、Google、Microsoft、Coinbase
といった主要ブランドの顧客を標的にこうしたキャンペーンを実 行しており、人間の発信者を一切介さずに攻撃を行うことができ ます。
動画 2025年には、事前録画されたディープフェイクが大きな懸念とな りました。しかしこの1年間で、ライブビデオ通話中にリアルタイ ムで顔を入れ替える技術が実際に使用されるようになり、国家を 背景とする攻撃者だけでなく、組織化された詐欺グループにも利 用されています。北朝鮮との関連が指摘されている攻撃グループ UNC1069は、AI生成のディープフェイクによるビデオ通話と乗っ 取ったTelegramアカウントを使用して、暗号通貨関連の標的に ソーシャルエンジニアリングを仕掛け、認証情報を渡すよう仕向 けたと報告されています。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
29 AIセキュリティレポート2026
https://abnormal.ai/blog/athr-ai-voice-phishing-toad-attacks https://cloud.google.com/blog/topics/threat-intelligence/unc1069-targets-cryptocurrency-ai-social-engineering
同じ手法は現在、犯罪のサプライチェーンのさらに下流へと波及 しています。東南アジアの詐欺拠点では、「AIモデル」を雇い、 恋愛詐欺や投資詐欺の通話中にリアルタイムの顔入れ替えソフト ウェアを操作させています。AIが生成した顔と、その背後で実際 に会話する人間のオペレーターを組み合わせる手口です。その規 模は、各国の法執行機関による組織的な連携を誘発するほど拡大 しており、欧州警察は、著名人や報道機関のディープフェイク動 画を使用して、ソーシャルメディア上で被害者を偽の投資スキー ムに誘い込み、7億ユーロを超える資金を洗浄していたネットワー クの1つを摘発しました。さらに現在では、顔の偽装だけでなく、 詐欺のその他のプロセスも自動化されています。研究者は、被害 者をチャットグループへ誘導する23,000以上のドメインを追跡し ました。こうしたチャットグループでは、AIチャットボットが金 融アドバイザーになりすまし、人間がほとんど介入することなく 長期にわたる投資詐欺を継続しています。
合成IDとKYC回避 銀行やアプリの本人確認が、写真や身分証明書のスキャン画像、 あるいは実在する人物出あることを確認するための短い自撮り動 画に依存している場合、現在ではAI生成の偽造コンテンツによっ て容易に突破される可能性があります。銀行や暗号資産取引所が 依拠する本人確認の仕組みも、日常的に回避されるようになって います。OnlyFakeサービスの事例は、この問題を改めて浮き彫り にしました。同サービスの運営者は、米国および約56か国で1万件 を超えるAI生成の偽造IDを販売しており、それによって世界中の 顧客が銀行や暗号資産取引所のKYCチェックを通過できるようにし ていたとして、有罪を認めました。また、世界経済フォーラムの Cybercrime Atlasは、偽の顔に差し替えたり、偽の映像を認証カメ ラに直接入力したりすることで、こうしたリモート本人確認を突
破するために特別に作られたツールを報告しています。さらに、 被害者の顔の生体情報データを収集し、銀行の顔認証システムを 欺くために利用するマルウェアも確認されています。さらに、偽 のAIアイデンティティを用いてすでに本人確認を通過した銀行、 フィンテック、暗号資産のアカウントが、現在ではTelegram上で 公然と販売されています。
アクセス獲得に利用される合成ペルソナ 今年、最も重大なアイデンティティの脅威となったのは、単発の なりすましではなく、組織的な採用詐欺です。北朝鮮は、AIで作 成した架空の身元情報、履歴書、人物像を利用して、自国の工作 員を欧米企業のITリモートワーカーとして雇用させる工作を拡大し ています。これにより、偽造されたアイデンティティが、企業内 部への正当かつ合法的なアクセス権へと変わることになります。
Jasper Sleetとして追跡されている北朝鮮関連のグループは、生成 AIを使用し、求人情報をスキャンし、盗んだ身分証明書の顔写真 を差し替え、さらには人事部の選考を通過できるほど精巧な架空 の人物像の作成を行い、クラウド環境や内部システムへのアクセ スを獲得しています。こうした活動の規模と国家による関与は、 現在では公式に認識されています。2024年には米国財務省が、 架空の人物像を使って米国企業に雇用され、北朝鮮の兵器開発計 画のために8億ドル近くの資金を生み出していたとされる、北朝 鮮関連のIT労働者ネットワークの背後にいる6人の個人と2つの組 織を制裁対象に指定しました。この資金の流れが明るみになった きっかけは、偶然の出来事でした。工作員の1人が誤って自身のコ ンピューターをインフォスティーラーに感染させたことで活動記 録が流出し、毎月約100万ドルが北朝鮮当局へ送金されていたこと を示す情報が明らかになったのです。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
30 AIセキュリティレポート2026
https://www.malwarebytes.com/blog/news/2026/03/scam-compounds-hiring-ai-models-to-seal-deal-in-deepfake-video-calls https://www.europol.europa.eu/media-press/newsroom/news/international-takedown-of-cryptocurrency-fraud-network-laundering-over-eur-700-million https://www.europol.europa.eu/media-press/newsroom/news/international-takedown-of-cryptocurrency-fraud-network-laundering-over-eur-700-million https://www.europol.europa.eu/media-press/newsroom/news/international-takedown-of-cryptocurrency-fraud-network-laundering-over-eur-700-million https://www.justice.gov/usao-sdny/pr/creator-onlyfake-charged-and-pleads-guilty-selling-more-10000-digital-fake https://reports.weforum.org/docs/WEF_Unmasking_Cybercrime_Strengthening_Digital_Identity_Verification_against_Deepfakes_2026.pdf https://www.google.com/search?q=https://specopssoft.com/blog/top-password-credential-stealing-malware https://www.microsoft.com/en-us/security/blog/2025/06/30/jasper-sleet-north-korean-remote-it-workers-evolving-tactics-to-infiltrate-organizations/ https://home.treasury.gov/news/press-releases/sb0230 https://cybernews.com/security/north-korean-hacker-detonates-malware-on-own-pc-exposing-1m-a-month-it-worker-scam/
訓練を受けた「スー パーレコグナイザー （超認識者）」でさ
え、AIが生成した顔を 偽物だと正しく見抜け た割合はわずか41％で した。一般の視聴者で は、わずか30％に留ま
りました。
信頼の基盤としてのアイデンティティの崩壊 リモートで本人確認を行うことは、これまで以上に困難になって います。声、顔、文書、さらにはリアルタイムのやり取りでさえ も、現在ではAIによって本物と見分けがつかないほど精巧に偽造 できるため、もはやそれらのいずれも単独では証明として機能し なくなっています。管理された環境下で行われた研究では、偽の 顔を見抜く訓練を受けた人でさえ、AIが生成した顔をAIによるも のだと正しく識別できたのは約41％に過ぎませんでした。一般の 視聴者が識別できたのはわずか約30％に留まりました。実際の本 人確認では、AIによる偽造がより困難な手段へと移行する必要が あります。具体的には、別の信頼できるチャネルを通じた確認、 安全なデジタル認証情報の利用、そして偽装がより困難な、より 強力なリアルタイム本人確認などです。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
31 AIセキュリティレポート2026
https://bpspsychub.onlinelibrary.wiley.com/doi/10.1111/bjop.70063
導入事例： 「トゥルーマン・ショー」詐欺、AIが作り出す偽りの現実
チェック・ポイントのリサーチチームは、単に特定の人物になりすますだけでなく、被害者を取り巻く世界その者を偽造する投 資詐欺（OPCOPROとして追跡）を確認しました。標的はSMSや広告を通じて、約90人が参加するWhatsAppやTelegramのグルー プに誘導されます。しかし、そのメンバーのほとんどが偽物です。AIが生成した架空の人物が金融の「専門家」や投資家仲間を装 い、プロフィール写真にはオンライン上の履歴が無く、メッセージの投稿タイミングや文面からも機械生成であることがうかがえ ます。グループ内では、ねつ造されたチャートを用いて日々の「勝ちトレード」を披露する一方、関連モバイルアプリは、当時 Google PlayやApp Storeで入手可能だったものの、実際の取引機能を持たない見せかけだけのアプリでした。残高と取引結果はすべ てリモートサーバー上で捏造されているため、被害者が目にするものはすべて偽物です。
このオペレーションは、2025年8月から12月の間に登録された少なくとも5つのブランド化されたWebサイトを運営し、複数の言語 で流暢に機能していました。この不正、詐欺、不正行為が重大である理由は、従来のマルウェアを一切使用していない点にあり ます。アプリは正規のソフトウェアのように振る舞い、攻撃は技術的な侵害ではなく、完全に作り上げられた信頼に依存していま す。説得力のあるID、コンテンツ、ソフトウェアを作成するためのコストが低下し続けるにつれて、こうした詐欺はますます正規 のデジタルビジネスと見分けが付きにくくなっています。
ソーシャルエンジニアリングのマルチチャネル化 こうしたアイデンティティを悪用した攻撃は単独で発生するので はなく、ソーシャルエンジニアリング全体のより大きな変化を加 速させています。チェック・ポイントの2026年版サイバーセキュ リティレポートでは、2025年の主要な攻撃ベクトルとなったの はソーシャルエンジニアリングであることが示されています。 その手口はメールの枠を超え、電話、メッセージングアプリ、 Microsoft TeamsやSlackなどの業務ツール、偽のWebサイト、さら には対面でのなりすましにまで及ぶ組織的な攻撃へと拡大してい ます。かつてはニッチな手法と考えられていたマルチチャネル型 のソーシャルエンジニアリングは、今や標準的な手法となってお り、2025年に発生した最も深刻な侵害のいくつかでも中心的な役
割を果たしました。その中には、Marks & SpencerやJaguar Land Roverを狙ったScattered Spiderによる攻撃や、Salesforceの顧客 を標的としたShinyHuntersの電話によるキャンペーンなどがあり ます。FBIによると、音声を利用した詐欺だけでも、被害額は2億 5,000万ドルを超えているということです。 生成AIは、品質、言語、規模という従来の障壁を取り除くこと で、これらの攻撃をはるかに効果的なものにしています。現在で は、クローン化された音声、ディープフェイク動画、偽造文書、 架空のアイデンティティを組み合わせ、最初のやり取りから被害 者の信頼を得る、一貫性のある攻撃が可能になっています。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
32 AIセキュリティレポート2026
https://blog.checkpoint.com/mobile/the-truman-show-scam-trapped-in-an-ai-generated-reality/ https://research.checkpoint.com/2026/cyber-security-report-2026/
データ漏洩とエンタープラ イズAIの露出状況
データ漏洩とエンタープライ ズAIの露出状況 これまでの章では、AIを攻撃の手段、標的、そしてなりすましの ツールという観点から取り上げてきました。本章では視点を企業 内部に向け、企業が日々AIツールに入力しているデータと、それ がもたらすデータ漏洩のリスクについて解説します。
数値で見るAIの普及とデータ露出 2025年10月から2026年5月にかけて、企業における生成AIの利用 は、明確に成熟段階へと移行しました。従業員は日常のワーク フローに複数の生成AIツールを継続的に取り入れるようになり、 各組織では毎月平均10種類のAIアプリケーションが使用されてい ます。チェック・ポイントのデータによると、個人レベルでは、 ユーザー1人あたりの平均プロンプト数は2025年12月の56件から 2026年5月には70件に増加しており、これは同期間で25％の増加を 意味します。生成AIは、目新しい新興テクノロジーから、さまざ まなビジネス領域に組み込まれた、組織の生産性を支える不可欠 なツールへと進化しています。
セキュリティの観点から見ると、この利用拡大の影響は重大で、 現在も続いています。87％から93％の組織が毎月少なくとも1回 は高リスクな生成AIとのやり取りを行っており、機密データが漏 洩するリスクは一部の組織に限られたものではありません。これ は、職場でのAI利用においてほぼ普遍的なものとなっています。
87–93% 毎月87～93％の組織で少なくとも1件の高リスクな生成AI
とのやり取りが発生しています。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
34 AIセキュリティレポート2026
外部のAIサービスと共有される機密性の高い企業データ、個人 データ、または規制対象データを含む「高リスク」なプロンプト の割合は、期間開始時の2％から終了時には4％に上昇しました。 これは、日常的な生成AIの利用を通じて機密情報が漏洩する基本 的なリスクが、実質的に倍増したことを意味します。簡単に言え ば、これは高リスクなプロンプトの割合が、およそ50回のやり取 りに1回から、25回に1回へと増加したことになります。この割合 は調査期間の後半数か月間は安定しましたが、データからは、組 織がAI関連のデータ漏洩リスクにおいて、より高い新たなリスク 水準に達していることが示唆されています。
高リスクな生成AIプ ロンプトの割合は、
この1年間で2％か ら4％へと倍増しま
した。一方、組織で は現在、平均して月 に10種類のAIアプリ ケーションが利用さ
れています。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
35 AIセキュリティレポート2026
地域別に分析すると、企業における生成AIのリスクへの露出度に は明確な違いが見られます。欧州と中南米では、高リスクの生成 AIプロンプトの割合が世界平均の3.45％を上回っており、これらの 地域の組織では、機密データがAIサービスに共有されるリスクが より高いことが示唆されています。
ヨーロッパ：プロンプトの3.95％（約25回に1回）が「高リスク」 に分類され、全地域で最も高い割合となっています。
中南米：3.76％、つまり27件のプロンプトにつき1件の割合です。
北米：3.33％、つまり30件のプロンプトに1件の割合であり、低い ものの依然として無視できない数値です。
地域別の高リスクプロンプト（2026年1月～5月） （N件に1件のプロンプトが高リスク）
ヨーロッパ 3.95％ [25件中1件]
中南米 3.76％ [27件中1件]
北米 3.33% [30件中1件]
アジア太平洋地域 2.88% [35件中1件]
図 5.1 — 地域別の高リスクプロンプト（2026年1月～5月）。
地域間の差は比較的小さく、むしろそこから重要な事実が浮かび 上がります。つまり、AI関連のデータ露出は一部の市場に限られ た問題ではなく、世界的な課題であるということです。すべての 地域で高い割合が示されていることから、生成AIツールが日常業 務に組み込まれる場所であればどこでも、国を問わず、リスクを 伴うAIの利用が発生することが示唆されています。企業が生産性 向上のためにAIへの依存を強める中、世界中の従業員が同じ基本 的なジレンマに直面しています。それは、AIから真に有用な回答
を得るために十分なコンテキストを与えるのか、それとも機密 情報を保護するために、AIに提供する情報を控えるかという問題 です。 欧州がランキングの首位に位置していることは、この地域が歴史 的にデータ保護とプライバシー規制を強く重視してきたことを踏 まえると、特に注目に値します。これは、規制の枠組みだけでは 大規模に発生するリスクの高いAIインタラクションを防ぐには不 十分であることを示しており、技術的制御、ユーザーの意識向
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
36 AIセキュリティレポート2026
中南米地域における高リスクプロンプトの月別推移 - 2026年 （N件に1件のプロンプトが高リスク）
4.2％
4.0％
3.8％
3.6％
3.4％
3.2％
3.0％ 1月 2月 3月 4月 5月
図5.2 — 中南米における高リスクプロンプトの増加傾向。
上、継続的な監視の重要性を改めて浮き彫りにしています。より 広い視点で見ると、世界中の組織は、AIの導入拡大に伴ってAI関連 のデータ漏洩リスクも高まることを前提に、ガバナンスを後付け で検討するのではなく、導入当初から計画に組み込む必要があり
ます。中南米の動向にも注意が必要です。リスクの高いプロンプ トの割合は、1月の3.68％から5月には4.15％へと上昇し、わずか5
か月で13％増加しています。
3.68％（27件中1件） 3.6％（28件中1件）
3.7％（27件中1件）
4.15％（24件中1件）
3.47％（29件中1件）
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
37 AIセキュリティレポート2026
これを地域ではなく業種別に見ると、リスクの偏りがさらに顕著 になります。2026年1月～5月にかけて、ビジネスサービス、卸売 り・流通、通信、ソフトウェアの各業界では、高リスクプロンプ トの割合が世界平均の3.45％を上回りました。つまり、これらの業 界では、機密情報が外部のAIサービスと共有されてしまう可能性 が他業界より高いことを示しています。
中でもビジネスサービスは、全業界で最も高い割合を示してお り、AIとのやり取り約17回に1回で、機密データが外部に露出する 実質的なリスクが確認されました。
ビジネスサービス：5.91％、つまり約17件のプ ロンプトに1件の割合で、全セクターの中で最 も高い数値です。
卸売・流通：5.47％、つまりプロンプト18件に つき1件の割合です。
通信：4.06％、つまり25件のプロンプトにつき 1件の割合です。
すべての業界の中でも、ビジネスサービスは特に注意を払う必要 があります。高リスクのプロンプトの全体的な割合が最も高かっ ただけでなく、その割合が調査期間を通じて上昇し続けたためで す。1月の5.50%から5月には6.98%まで上昇し、わずか5か月間で 27%増加しました。5月の時点では、この業界のユーザーが送信し たプロンプトの約14件に1件が、機密データ漏洩につながる高いリ スクを伴っていました。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
38 AIセキュリティレポート2026
業界別の高リスクプロンプト（2026年1月～5月） （N件に1件のプロンプトが高リスク）
ビジネスサービス 5.91％ [17件中1件]
卸売・流通 5.47％ [18件中1件]
テレコミュニケーション 4.06％ [25件中1件]
ソフトウェア 3.52％ [28件中1件]
産業・製造業 3.07％ [33件中1件]
政府/行政機関 3.01％ [33件中1件]
金融サービス 2.72％ [37件中1件]
消費財および サービス 2.26％ [44件中1件]
エネルギー・公益 1.91％ [52件中1件]
情報技術 0.65％ [153件中1件]
図 5.3 — 業種別の高リスクプロンプト（2026年1月～5月）
この傾向から、ビジネスサービス業界ではAIの利用が実験的な段 階を脱し、中核業務へとより深く組み込まれつつあることがうか がえます。従業員は、文書の分析、コミュニケーション文書の作 成、顧客対応などにAIを活用するようになっており、有用な回答 を得るために、より多くの業務上のコンテキストや機密情報をAI
に提供する機会も増えています。こうしたAIの本格的な活用は、 生産性の向上につながる一方で、顧客の機密情報、契約書、規制 対象のコンテンツなどが外部のAIプラットフォームに共有される 可能性も高めます。特に、情報の取り扱いや顧客との関係構築を 中核とする業界では、このリスクがより大きくなります。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
39 AIセキュリティレポート2026
より大きな視点で見ると、AIの導入スピードが、それを適切に 管理するためのガバナンス整備を上回っています。AIツールの 利用が定着し、ユーザーが使い慣れるようになっても、慎重な 利用につながっているわけではなく、リスクの高い情報共有も 減少していません。その結果、組織は、従来より高い水準のリ スクに加え、情報が外部に露出する機会そのものの増加にも直 面しています。この問題は自然に解消されるとは考えにくく、 今後も継続する可能性があります。
何が、どのように漏洩するのか 上記の数値は、AIに到達する機密データの量を測定したもので す。しかし、それらの情報が実際にどのような経路でAIに渡っ ているのかも、同じくらい重要です。特に重要なのは、最も深 刻な情報漏洩の多くが攻撃者によって引き起こされているわけ ではなく、むしろ、承認されたAIツールを日常業務の中でごく 普通に利用することによって生じる副産物なのです。
デフォルトで過剰なアクセス権が付与されている：研究者が示した ところによると、ChatGPTとGoogleドライブ間の連携であっても、 ごく一般的な1つの質問をきっかけに、1秒未満で400件を超える機 密性の高い内部ファイルを取得できることを実証しました。これ は、質問者が自力で見つけられる量をはるかに上回るものです。
従業員が、会社で承認されたAIツールではなく、自身の個人用AI
アカウントを業務に利用する、いわゆる「シャドーAI」の問題も あります。ある調査では、およそ5社に1社で、このような形で企 業データが外部に漏洩していたことが確認されました。これは、 企業が正式に承認したAIツールを経由した情報漏洩とは別に発生 している問題です。また、テキストをコピー＆ペーストする、 フォームに情報を入力する、ブラウザからファイルをアップロー ドするといった何気ない操作も、企業が通常、ネットワーク外へ のデータ流出を検知するために導入しているセキュリティ対策を 容易にすり抜けてしまいます。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
40 AIセキュリティレポート2026
https://research.checkpoint.com/2026/cyber-security-report-2026/ https://www.google.com/search?q=https://research.eye.security/blocking-shadow-ai-how-to-prevent-data-leakage-from-chatgpt-and-other-llms/
プロバイダー側およびアプリ側の露出 自社の従業員によるAI利用について厳格なルールを設けている組織 であっても、外部のAIプロバイダーやアプリへの依存を完全に避け ることはできません。そして、そうした外部サービス自体が、攻 撃者の侵入経路となる可能性もあります。企業のデータが外部のAI
ツールに共有された時点で、そのデータの安全性は、元の企業が 講じている対策ではなく、共有先となる外部企業がどの程度安全 にサービスを運用しているかに依存することになります。 この1年間、AIを構成するさまざまなレイヤーで、同様の問題が繰 り返し発生しました。
01 「Chat & Ask AI」という消費者向けAIチャットアプ リでは、2,500万人を超えるユーザーの約3億件のメッ セージが流出しました。
02 Sears Home Servicesが使用していたAIカスタマーサポー トチャットボットでは、個人情報を含む通話録音や書き 起こしデータなど、370万件の記録が流出しました。
03 AIベンダー自体も被害を受けました。Anthropicでは独自 のソースコードが流出する事案が発生しました。また、 AI人材サービス会社のMercorは、LiteLLMゲートウェイ の脆弱性（前述したものと同じエージェント型サプライ チェーンの弱点）を突かれて侵害され、大量の内部デー タが暴露されました。
04 LovableのAIアプリビルダーでは、認証の不備により、無 料プランのユーザーであっても、数千件に及ぶ顧客プロ ジェクトのソースコードや保存されていた認証情報を読 み取ることが可能になっていました。
ログイン認証情報が窃取されると、リスクはさらに高まります。 実際、窃取された1つのGoogle Gemini APIキーによって、わずか2
日間で約8万2,000ドルの利用料金が発生し、発覚するまでの間に 保存されていたアカウントデータにもアクセスされていました。 これにより、攻撃者は他人の正規のAIアカウント内で自由に活動 できる状態になります。これは、本レポートで前述したものと同 じ攻撃パターンです。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
41 AIセキュリティレポート2026
https://www.404media.co/massive-ai-chat-app-leaked-millions-of-users-private-conversations/ https://cybernews.com/ai-news/ai-chatbot-data-leak-sears/ https://www.axios.com/2026/03/31/anthropic-leaked-source-code-ai https://docs.litellm.ai/blog/security-update-march-2026 https://lovable.dev/blog/our-response-to-the-april-2026-incident https://cybersecuritynews.com/stolen-gemini-api-key-turned-180-bill-to-82000/
導入事例： 隠れた送信チャネルを介した ChatGPTのデータ漏洩
チェック・ポイントのリサーチチームは、AIに接続された アプリだけでなく、AIプラットフォーム自体が、情報漏洩 の経路になり得ることを実証しました。ChatGPTの安全な コード実行サンドボックスでは、安全対策として通常の外 部インターネットアクセスが遮断されていますが、DNS ルックアップは許可されており、これは多くのユーザーが 確認しようとも思わないような見落としでした。データを DNSサブドメインクエリにエンコードすることで、会話の 早い段階で仕込まれた悪意のある命令が、ユーザーのメッ セージやファイルの内容を攻撃者のサーバーに密かに送信 できる可能性がありました。その際、通常であればアプリ がユーザーのデータを外部に共有する前に表示される警 告プロンプトは一切表示されません。概念実証（PoC）で は、「パーソナルドクター」を装ったAIアシスタントを使 い、アップロードされた検査結果から患者情報や医学的評 価を外部へ流出させました。この問題はOpenAIに報告さ れ、2026年2月20日に修正されました。実環境で悪用され た形跡は確認されていません。
組織のデータが一度外部のAIモデルと共有されると、そのデータ の最終的な行き先を完全に制御することはできません。AIアシス タントが実際の実行環境に関与する機会が増えるにつれ、新しい 機能が追加されるたびに、一般のユーザが目にすることのないシ ステム内部の領域を含め、こうした経路を一つひとつ保護してい く必要があります。
ガバナンスへの影響 AIに関連するデータ漏洩は、導入時に一度対処すれば終わる課題 ではなく、AIの利用に伴う継続的なリスクとして捉える必要があ ります。このリスクを適切に管理するには、AIが実際にどのよう に使用されているかを常に監視し、明確なポリシーを施行し、 従業員をトレーニングし、機密情報が外部のAIサービスに到達す る前にその事態を検知、阻止できるリアルタイムの制御機能を活 用することが求められます。
AIから最大限の成果を得られる企業とは、セキュリティを年に一 度だけ見直す対象として扱うのではなく、AIの利用拡大に合わせ て監視体制を継続的に強化していく企業です。このバランスを適 切に保つことが、企業の知的財産、機密性の高い業務情報、規制 対象データを保護しつつ、AIが提供するあらゆるメリットを享受 することを可能にします。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
42 AIセキュリティレポート2026
https://research.checkpoint.com/2026/chatgpt-data-leakage-via-a-hidden-outbound-channel-in-the-code-execution-runtime/
AIのためのセキュリティ。 AIによるセキュリティ。 AIを用いたセキュリティ。
AIのためのセキュリティ
AIエージェントやアプリケーションは、ツールであると同時に標 的でもあります。これらは、処理するコンテンツ内の隠された指 示によって操作されたり、接続先のツールを介して侵害された り、自動的に信頼する設定ファイルを悪用されて組織への攻撃手 段に変えられたりする可能性があります。さらに、専用のLLM環 境、AIファクトリー、NVIDIAベースのハードウェア環境など、独 自のAIインフラストラクチャを構築する組織では、攻撃対象領域 がさらに拡大します。インフラストラクチャ、ハードウェア、 ワークロード、コンテナ、推論API、LLMエンドポイントに至るま で、さまざまなレイヤーが攻撃対象になります。
AIの攻撃対象領域で最も大きなリスクとなるのは、多くの場合、 組織から見えていない部分です。外部に公開されたモデルサー バー、アクセス可能なエージェントの管理パネル、保護されてい ない推論エンドポイントは、攻撃者によって積極的に探索されて いますが、多くのセキュリティチームは、こうした資産を十分に 可視化できていません。インターネットに何が公開されているの か把握できなければ、それを防御することもできません。
Check Point AI Agent Security
企業向けAIエージェントが、プロンプト、ツール、デー タ、アクションとどのようにやり取りするかをリアルタイ ムで制御します。
• プロンプト、ツール、データとのあらゆるやり取りに おいて、AIエージェントの動作を制御
• プロンプトインジェクション、改ざんされた設定、 不適切なツール使用によるAIエージェントの操作を防止
Check Point AI Red Teaming
攻撃者に悪用される前に、AIアプリケーションやエージェン トが、機密データの漏洩、ポリシーの回避、危険な出力を引 き起こすよう誘導される可能性がないかを検証します。
• デプロイメント前に、ジェイルブレイク、データ漏洩リ スク、過剰な権限を検証
• モデル、プロンプト、ツール、または権限に重要な変更 を加えるたびに、セキュリティを検証してください
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
44 AIセキュリティレポート2026
https://www.checkpoint.com/ai-security/ai-agent-security/ https://www.checkpoint.com/ai-security/ai-red-teaming/
Check Point WAF
デュアルレイヤーのMLエンジンを搭載し、シグネチャを 必要とせず、ダウンタイムを発生させることなく、境界で プロンプトインジェクションや安全でないコンテンツをブ ロックします。
• プロンプトインジェクションや安全でないコンテンツ がユーザーやシステムに到達する前にブロック
• 従来のアプローチで必要とされるパッチ適用のオー バーヘッドなしに、リアルタイムで攻撃を阻止
チェック・ポイントExposure Management
チェック・ポイントのExposure Managementは、外部攻撃対象領域管理（EASM）、サイバー資産攻撃対象領域管理（CAASM）、 およびサプライチェーンインテリジェンスを通じて、攻撃者にマッピングされる前にAI攻撃対象領域全体を可視化します。
• インターネットに公開されているすべての資産（モデルサーバー、推論エンドポイント、エージェント管理パネルなど）を検出 • テクノロジー検出とウォッチリストを使用して、新たに公開されたAIインフラを出現と同時に検出 • 第三者のAIプロバイダーを継続的に監視し、そのリスクが自社のインシデントにつながる前に可視化
チェック・ポイントのAIファクトリー セキュリティ
独自のAIインフラストラクチャを構築・運用する組織に向け て、エンドツーエンドの包括的なセキュリティ設計を提供し ます。アプリケーションセキュリティ、インフラストラク チャセキュリティ、安全なAI利用まで、AIスタック全体を多 層的に保護する多層防御アプローチを採用しています。
• ハードウェア、ワークロード、コンテナ、推論API、LLM
エンドポイント、境界まで、AIインフラストラクチャを エンドツーエンドで保護
AIの攻撃対象領域において最もリスクが高いのは、目に見えない部分です。AIを保護するには、その動作を適切に制御し、AIが稼働するイ ンフラストラクチャを保護するとともに、攻撃者に把握される前に攻撃対象領域全体を可視化する必要があります。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
45 AIセキュリティレポート2026
https://www.checkpoint.com/cloudguard/waf/ https://engage.checkpoint.com/ai-data-center-ai-factory-security-blueprint/ https://engage.checkpoint.com/ai-data-center-ai-factory-security-blueprint/
AIによるセキュリティ
本レポートが明らかにする最も大きな変化は、新たな攻撃手法の 登場ではありません。それは、変化のスピードです。現在では、 脆弱性が公開されてからわずか数時間で、実際に機能するエクス プロイトが作られるようになっています。フィッシング攻撃も、 人間のチームでは到底実現できない品質と規模で展開されていま す。さらに、侵入攻撃では数十の標的が同時に狙われ、人間が状 況を確認する合間にも、AIが実際の攻撃活動を進めます。人間の スピードで対応するセキュリティチームでは、この攻撃のペー スに追随することはできません。AIを活用した攻撃から組織を 守るには、最先端のAIモデルを活用した脅威防御エンジンが必要 です。
チェック・ポイントThreatCloud AI
チェック・ポイントの脅威対策を支えるインテリジェンス の頭脳であり、最新のAIテクノロジーと業界をリードす るサイバーセキュリティ研究者の知見を活用し、ゼロ デイ攻撃を未然に防ぎます。ThreatCloud AIは、チェッ ク・ポイントのHybrid Meshネットワークセキュリティ、 Workspace Security、Exposure Management、AI Security の各製品ラインを通じて、あらゆるIT環境と連携し、ネッ トワーク、メール、エンドポイント、モバイル、クラウド を包括的に保護します。
• 最新のAIテクノロジーと最先端のサイバーセキュリ ティ研究を活用し、ゼロデイ攻撃を防止
• 単一の接続されたインテリジェンス層を通じて、ネッ トワーク、メール、エンドポイント、モバイル、クラ ウドを包括的に保護
• 2つの異なるスピードで同時に稼働：バックグラウン ドで継続的に脅威インテリジェンスを生成するととも に、世界各地のチェック・ポイントセンサーからの問 い合わせにリアルタイムで対応
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
46 AIセキュリティレポート2026
https://www.checkpoint.com/ai/threatcloud/
チェック・ポイントFrontier AIモデル準備プログラム
モデルに依存しないチェック・ポイント独自の技術である「BLAST」をはじめとする技術を活用し、最先端AIモデルの脆弱性をプロ アクティブに発見し、攻撃に悪用される前に解消します。
• 攻撃者に悪用される前に、最先端AIモデルの脆弱性をプロアクティブに発見・解消 • チェック・ポイントの防御を支えるAIモデルを継続的にテストおよび強化することで、脅威アクターの一歩先を行く防御を実現
攻撃者はAIをオペレーターとして活用しています。ThreatCloud AIも防御側で同等の速度で稼働し、人手を介さずに脅威を検知・ブロックし ます。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
47 AIセキュリティレポート2026
https://blog.checkpoint.com/security/check-point-frontier-ai-models-readiness-program-security-update/
AIを用いたセキュリティ
本レポートで取り上げた標的型攻撃はすべて、攻撃者がすでに入手 していた情報によって、より精度の高い攻撃が可能になっていまし た。そして、その情報の多くは、従業員が日常的に利用するAIツー ルを通じて組織外へ流出したものです。高リスクな生成AIプロンプ トは、この1年で2倍に増加しました。組織では1か月あたり平均 10種類のAIアプリケーションが利用されており、その多くは正式な 承認を受けていません。さらに、多くのセキュリティチームは、 どのような情報がどのAIツールと共有されているのか、そしてその 情報を共有してよいのかについて、十分に可視化できていません。
AIを効果的に活用するには、従業員による利用、AIとのやり取りが 発生する接点、そして認証情報やデータがすでに流出している外部 の攻撃対象領域に至るまで、包括的に制御する必要があります。
チェック・ポイントのワークフォース AIセキュリティ
組織全体で従業員がAIをどのように利用しているかをセ キュリティチームが可視化できるようにし、AIアプリケー ションの検出、ガバナンス、リアルタイムのデータ保護を 実現します。さらに、AIとのやり取りそのものを保護し、 生成AIへのプロンプトをリアルタイムで管理するととも に、入力時点でリスクを評価し、データが外部サービスに 送信される前にデータ漏洩を防止します。
• 従業員が利用している、承認済み・未承認のAIアプリ ケーションを組織全体で検出
• AIとのやり取りを通じた認証情報、ソースコード、個人 識別情報（PII）、顧客データ、機密文書の漏洩を防止
• 生成AIプロンプトが環境から送信される前に、リアルタ イムのデータ漏洩防止を適用
• エンタープライズグレードの可視性と監視機能によ り、規制要件への対応を実現
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
48 AIセキュリティレポート2026
https://www.checkpoint.com/ai-security/ai-workforce-security/
チェック・ポイントExposure Management
攻撃者に先んじて重要なリスクを特定し、対処できる能力をチームに提供します。実際のリスクに基づいてエクスポージャーの優 先順位を付け、どの脆弱性が実際に到達可能で悪用可能なのかを検証するとともに、ベンダーによる修正を待つことなく対策を講 じることができます。さらに、ブランド保護と脅威インテリジェンスの各レイヤーを通じて、認証情報の漏洩、偽サイト、なりす まし用インフラなど、すでに組織に対する攻撃に悪用されている外部の攻撃対象領域もカバーします。
• スキャナーが検出した脆弱性の数ではなく、実際に悪用可能かどうかでエクスポージャーの優先順位を決定 • 攻撃者が同じ経路を試す前に、悪用可能性を継続的に検証 • ベンダーによる修正がまだ利用できない場合は、仮想パッチ適用によって重大な脆弱性を無効化 • インターネットに公開された設定ファイル、シークレット、APIキーを、攻撃者に発見される前に検出 • フィッシングページ、タイポスクワッティングドメイン、クローンサイトを検出し、被害者がアクセスする前に削除 • AIサービスのログイン情報を含む、盗難・転売された認証情報をディープウェブやダークウェブで監視 • 標的型なりすまし攻撃似利用される、流出した企業データや不正の兆候を可視化
攻撃者がAIを使って精度の高い攻撃を仕掛けるには、その前にデータを入手し、攻撃可能なエクスポージャーが組織から見えない状態であ る必要があります。Workforce AI Security、GenAI Protect、Infinity AI Copilot、Exposure Managementは、この2つのギャップを解消します。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 CISOへの推奨事項
49 AIセキュリティレポート2026
https://www.checkpoint.com/exposure-management/
2026年 CISO 推奨事項
2026年 CISO 推奨事項 Fred Streefland著、 チェック・ポイント・ソフトウェア・テクノロジーズ、グローバ ル・フィールド CISO
本章で明らかにしようとしている問いは非常に単純です。「これ らすべてはCISOにとって何を意味するのか、そしてCISOはこのレ ポートから何を学ぶべきなのか」ということです。
CISOには、ビジネスが「本来のビジネス」を遂行できるよう、 ビジネス上の（サイバー）リスクを適切に管理することが期待さ れています。しかし、今日のAI主導の世界において、CISOの役 割は、侵害の防止やコンプライアンスの確保だけにとどまりませ ん。もちろん、これらも引き続き重要であることに変わりはあり ません。これからのCISOには、イノベーションとリスク管理、競 争優位性と倫理的責任、テクノロジーの可能性と組織としての統 制のバランスを取りながら、責任あるAIの導入を可能にする役割 が求められています。
レポートのこのセクションでは、これまでの4つの章が今日のCISO
にとってどのような意味を持つのかを解説します。各章のまとめ として結論（「なぜ重要なのか」）を記載し、その後に推奨事項 を提示します。
01 第1章では、AIを活用したサイバー攻撃について説明し、攻撃者が どのようにAI機能にアクセスできるかを示します。攻撃者は、商用 モデルを悪用したり、セルフホスト型のオープンソースモデルを 展開したり、あるいは目的別に構築された悪意のあるサービスへ のアクセス権を購入したりすることができます。また本章では、 マルウェア開発におけるAIの役割が実験段階から運用段階へと移行 したこと、そしてAIが現在ではライブ攻撃オペレーターと見なせる ようになったことについても説明します。本章で最も重要な要素 は、脆弱性研究におけるAIの活用であり、その結果、パッチ適用ま での期間が短縮されました。AIは現在、セキュリティ上の欠陥が悪 用される前にそれを見つけ出し、修正される前に悪用する方法を 見つけ出すことが可能となっています。
なぜそれが重要なのか。
攻撃者は現在、驚異的なスピードでAIを自身の利益のために活用で きるようになっています。CISOはこの動向を認識し、AIを実在す る攻撃者として捉える必要があります。これは、CISOがサイバー セキュリティ管理を再検証し、現在のセキュリティ体制がこれら のAIを利用したサイバー攻撃に対処できるかどうかを確認する必要 があることを意味します。CISOは、現在の脆弱性管理プロセスを 評価すべきです。なぜなら、 AI モデルが脆弱性を発見し活用する 速度が向上したことで、修復にかかる時間が大幅に短縮されてい るからです。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 2026年 CISO向けガイド
51 AIセキュリティレポート2026
02 第2章では、AIを攻撃対象領域として扱い、AIに対する攻撃を検 証します。ここでは、主に2つの原因が特定されています。1つ目 はAI特有のもので、言語モデルが隠された指示（直接的および間 接的なプロンプトインジェクション）、信頼された構成ファイル （構成の悪用）、および破損したメモリ（ランタイムポイズニン グ）を通じて操作される可能性があります。2つ目はより一般的な もので、AIツールもソフトウェアであることに変わりはなく、従 来のアプリケーションが持つ脆弱性を継承しています。これらの 弱点は、AIの急速な導入によってより速く拡散しており、過剰な 権限を持ち、人間のレビューをほとんどまたは全く経ずに信頼さ れたコンポーネントをインストールする自律型AIエージェントに よって増幅されています。これが、AIインフラストラクチャおよ びAIソフトウェアサプライチェーンに対する攻撃を促進する要因 となっています。
なぜそれが重要なのか。
CISOの役割における中心的な原則の1つは、IT/OTインフラストラ クチャ、ワークスペース、クラウド環境、サプライチェーン、お よびAI全体にわたる可視性です。CISOは目に見えないものを保 護することはできないため、可視性は不可欠です。AIが新たな攻 撃対象範囲となる中、セキュリティ戦略をそれに対処するために 進化させる必要があります。これには、直接的および間接的なプ ロンプトインジェクションなどのAI固有の攻撃を理解すると同時 に、AIエコシステム、エージェント型サプライチェーン、およびAI インフラストラクチャに対する可視性を獲得することが求められ ます。
03 第3章では、デジタル技術の信頼とIDに与えるAIの影響について説 明します。前章では、武器としてのAIと標的としてのAIの両面につ いて議論しました。本章では、AIが説得力のある人間IDを大規模 に偽造できる能力を持つことから、人々の間の信頼にどのような 影響を与えるかに焦点を当てます。本章では、攻撃者や犯罪者が 現在、AIを使用してテキスト、音声、動画で偽のIDを生成できる ことを示します。彼らはこれらの偽のIDをオフライン、オンライ ン、そしてほぼ完全に自律的な方法で生成することが可能になっ ています。
なぜそれが重要なのか。
信頼はサイバーセキュリティにおける不可欠な要素であり、CISO にとっても重要な役割を担っています。本章で説明したようなな りすましの蔓延により、アイデンティティは信頼の拠り所として 機能しなくなっています。リモートで本人確認を行うことはかつ てないほど困難になっています。ソーシャルエンジニアリングが マルチチャネル化しているという事実を考え合わせれば、CISOは まさに適応を迫られており、アイデンティティを当然のものと見 なすことをやめる必要があります。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 2026年 CISO向けガイド
52 AIセキュリティレポート2026
04 第4章では、データ漏洩と企業におけるAIの露出について説明しま す。前章までは、武器、標的、なりすましのツールとしてのAIを 取り上げましたが、本章では企業によるAI導入のリスクを示して います。チェック・ポイント、リサーチ担当VPは、企業における 生成AI導入の著しい増加を記録しています。生成AIは、目新しい 新興技術から、複数のビジネス機能に組み込まれ、組織の生産性 に不可欠な要素へと進化しました。約90％の組織で、毎月少なく とも1回は高リスクな生成AIとのやり取りが発生しています。組織 が従業員によるAIの利用について厳格なルールを設けていたとし ても、外部のAIプロバイダーやアプリケーションになお依存して おり、それらが攻撃者の侵入口となる可能性があります。チェッ ク・ポイント、リサーチ担当VPは、ChatGPTのようなAIプラット フォーム自体が、接続されたアプリケーションというだけではな く、漏洩経路にもなり得ることを示しました。いったん組織の データが外部のAIモデルと共有されると、そのデータが最終的に どこへ行き着くのかを完全に制御することはできないのです。
なぜそれが重要なのか。
AIの導入ペースがそれを管理するためのガバナンス構築のペース を上回っていることから、今日のCISOは重大な課題に直面してい ます。AI関連のデータ漏洩の問題は、導入時に一度クリアすれば よいハードルとしてではなく、AIを活用したビジネスを展開する 上で継続的かつ恒久的な要素として扱われるべきです。CISOはAI
の運用を適切に管理する必要があります。そのためには、AIが実 際にどのように使用されているかを常に監視し、明確なポリシー を施行し、従業員をトレーニングし、機密情報が外部のAIサービ スに到達する前にその事態を検知、阻止できるリアルタイムの制 御機能を活用することが求められます。AIから最大限の成果を得 られる企業とは、セキュリティを年に一度だけ見直す対象として 扱うのではなく、AIの利用拡大に合わせて監視体制を継続的に強 化していく企業です。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 2026年 CISO向けガイド
53 AIセキュリティレポート2026
CISOへの推奨事項 AIは、私たちがこれまでに経験したことのないペースで世界を大 きく変えており、それはAIのセキュリティ分野においても同様で す。私たちは「悪意のある攻撃者」よりも素早く適応する必要が あります。よく言われるように、「生き残るのは、最も強い種で も最も知的な種でもなく、変化に最も適応できる種」なのです。
本レポートは、CISOであるお客様が、急速に変化する環境に適応 するために必要な情報を提供します。本レポートの知見と推奨さ れるチェック・ポイント製品を活用することで、組織を保護し、 ビジネスを推進する優れたCISOとなることができます。
昨年、AIは（セキュリティの）世界を大きく変え、CISOにとって かつてないほどの課題をもたらしましたが、基本は依然として変 わっていません。CISOはこれまでと同様にリスクを管理し、企業 が「本来の業務」を遂行できるようにする必要があります。つま り、リスク評価が今もなお、セキュリティの戦略とロードマップ の基盤を形成しているのです。CISOがこのリスク評価を組織のAI
エコシステムにも適用しなければならないという事実は、状況を より困難にする面もありますが、不可能ではありません。
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 2026年 CISO向けガイド
54 AIセキュリティレポート2026
チェック・ポイントについて Check Point Software Technologies Ltd. (www.checkpoint.com) は、 AIを活用した最先端のセキュリティソリューションで世界10万以 上の組織を保護し、デジタルの信頼を守るリーディングカンパ ニーです。Infinity Platformとオープンガーデンエコシステムを 通じ、チェック・ポイントの予防第一のアプローチは、リスクを 低減しながら業界をリードするセキュリティ効果を実現します。 SASEを中核とするハイブリッドなメッシュネットワーク構造を 採用したInfinity Platformは、オンプレミス、クラウド、ワークス ペースの各環境を一元管理し、企業やサービス・プロバイダーに 柔軟性、簡易性、拡張性を提供します。
お問い合わせ ワールドワイド本社
5 Shlomo Kaplan Street,
Tel Aviv 6789159, Israel
電話：+972-3-753-4599
電子メール：info@checkpoint.com
米国本社
100 Oracle Parkway, Suite 800,
Redwood City, CA 94065
Tel：03（6205）8340
攻撃への対応 当社のインシデント対応チームにお問い合 せください： emergency-response@checkpoint.com
チェック・ポイント、リサーチ担当VP
最新の研究やその他の限定コンテンツをご覧 になるには、以下にアクセスしてください。
www.research.checkpoint.com
www.checkpoint.com
01 はじめに
02 AIによるサイバー攻撃
03 AI攻撃対象領域
04 デジタルアイデンティティ
05 AIデータ漏洩
06 �AIセキュリティ フレームワーク
07 2026年 CISO向けガイド
55 AIセキュリティレポート2026
http://www.checkpoint.com mailto:info@checkpoint.com mailto:emergency-response@checkpoint.com http://www.research.checkpoint.com http://www.checkpoint.com
© 2026 チェック・ポイント・ソフトウェア・テクノロジーズ株式会社無断転載を禁じます。