米英加豪NZ、AIサイバー攻撃は数か月内に激化と警告

結論

米国・英国・カナダ・オーストラリア・ニュージーランドの5か国のサイバーセキュリティ機関は2026年6月23日、フロンティアAIモデルの進化がサイバー攻撃と防御の両方を数年でなく数か月単位で変えつつあるとする共同声明を発表した。攻撃側の能力向上に防御側の備えが追いつかない可能性を示す内容であり、AI活用を進める企業ほどセキュリティ投資の前倒しを迫られる警告になっている。

何が起きたか

声明を出したのは、米国、英国、カナダ、オーストラリア、ニュージーランドの情報機関やサイバーセキュリティ当局からなる、いわゆるファイブ・アイズの枠組みに属する機関である。声明の主旨は、フロンティアAIモデルが業界の想定を上回る速度で進化しており、攻撃側と防御側双方のサイバー能力を根本から変えつつあるというものだ。AIは防御側の能力向上にも役立つとしつつ、攻撃の速度・規模・巧妙さを押し上げる方向により強く働くと指摘している。

声明は企業や政府の指導者に対し、自社が抱えるリスクと備えの状況を把握すること、基本的なセキュリティ対策を優先して徹底すること、セキュリティ部門の責任者に十分な権限と予算を与えること、そして脅威と対策の情報を継続的に追い続けることの4点を求めている。具体的な行動としては、老朽化したシステムの更新やパッチ適用、重要システムへのアクセス権限の見直しが挙げられている。

英国のサイバーセキュリティ機関が別途公表した分析では、フロンティアAIモデルは企業ネットワークへの一通りの侵入を数万円程度の費用でこなせる水準に達しており、最も高性能なモデルの攻撃能力はこの1年半ほどで6倍に伸びたとされる。攻撃者にとっての参入障壁が下がっているという分析は、今回の共同声明が「数か月」という短い時間軸を用いた根拠の一つになっている。

なぜ今、この声明が出たのか

5か国の情報機関が足並みをそろえて公開の場でこうした警告を出すこと自体、異例の判断だとする指摘がある。各国の情報機関は通常、掴んでいる脅威の詳細を公にしない傾向が強いが、今回はフロンティアAIの能力向上のスピードが従来の想定を超えており、民間企業や自治体を含めた社会全体で備えを急ぐ必要があるという危機感が背景にあるとみられる。声明の対象は政府機関に限らず、重要インフラや民間企業も広く含まれている。

現場の実務にどう効くか

この種の警告は抽象的に聞こえがちだが、実務への示唆ははっきりしている。AIを使った攻撃は、フィッシングメールの文面を自然にする、なりすましの精度を上げる、脆弱なシステムを自動で探索するといった形で、すでに現実の被害につながっている。AIを悪用したなりすまし・フィッシングと企業の防御策で挙げた対策は、今回の警告が指す変化への備えとしてそのまま役立つ。

情報システム部門やセキュリティ部門にとっては、老朽化したシステムの棚卸しとパッチ適用の優先順位づけが直近の課題になる。生成AIのアクセス権限管理で述べたように、誰がどのシステムにアクセスできるかを組織として把握し直すことは、AIを使った攻撃への備えとしても有効である。中小企業であっても対岸の火事とは言えず、中小企業のAIセキュリティ最低限チェックリストにある基本項目から着手するとよい。

万が一の際の対応体制も見直しておきたい。AI絡みの情報漏洩が起きたときの対応で触れた初動対応の流れを、経営層と共有しておくことが今回の警告に対する現実的な備えになる。声明が示す「数年でなく数か月」という時間軸は、対策を先送りにする猶予がこれまでより短くなっていることを意味しており、AI推進担当とセキュリティ部門が予算と優先順位を早めにすり合わせておく必要がある。

AI推進担当者は、自部門の取り組みがセキュリティ強化と対立するものだと受け止められないよう、早い段階からセキュリティ部門と情報を共有しておくことが望ましい。セキュリティ部門とAI推進の協働で述べたように、両部門が同じ危機感を共有し、優先順位を一致させておくことが、こうした警告への実効性のある対応につながる。

出典

• Five Eyes Cyber Security Agencies Statement（CISA公式）
• Looming AI-fueled threats require urgent cybersecurity improvements, Five Eyes members say（Cybersecurity Dive）
• The AI shift in cyber risk: why leaders must act now（英国NCSC公式）