2025年12月、MetaはInstagramのアカウント復旧用にAIサポートアシスタントを導入した。目的は、乗っ取られたり、パスワードを忘れたユーザーがアカウントを取り戻す手助けをすることだった。しかし結果的に、このボットは親切すぎた——誰かが「このInstagramアカウントは自分のものだ」と主張しさえすれば、二段階認証が有効かどうかにも関わらず、攻撃者のメールアドレスをそのまま紐付けてしまったのだ。これ以降、アカウントを乗っ取るのに技術など一切不要になった。必要なのは、やたらと親切なAIサポートとの会話だけだった。
これこそが、今回の生成AIの波がサイバーセキュリティ業界に残した最も厄介な贈り物だ。同じ言語モデルが、企業の防御用コードを書く手助けにもなれば、攻撃者が本来なら数週間かけて行う調査の時間を丸ごと節約する手助けにもなる。違いは、防御側はシステム内のあらゆる潜在的な穴を塞がなければならないのに対し、攻撃者はたった一つの穴を見つけさえすればいいという点だ。この構造的な非対称性により、AIがもたらす「効率化」は、両者にとってまったく次元の異なるものになっている。
フィッシングメールの82%、もはや見破れない
かつてフィッシングメールを見分けるのは難しくなかった。誤字、不自然な文法、ロゴの比率のズレなど、一目で見抜けた。セキュリティベンダーBrightsideのデータによれば、現在フィッシングメールの82%が作成過程でAIを使用しており、クリック率はかつての12%からシミュレーション環境で52%まで急上昇したという。同じデータでは、2023年から2024年にかけて、AI音声クローン攻撃が442%、ディープフェイク攻撃が680%増加したことも示されている。
今年2月、メキシコ政府のデータベースが侵害された事件では、攻撃者の手口はさらに露骨だった。ClaudeとChatGPTの2つの対話ウィンドウを同時に開き、一方のモデルの出力をもう一方に貼り付けて処理を続けさせていたのだ。一方のチャットボットが安全機構によって協力を拒否した場合でも、もう一方が引き受けることが多く、2つのモデルが交互に補完し合うことで攻撃チェーン全体が完成した。人間の攻撃者がやるべきことは、コピー&ペーストだけだった。
企業がAIエージェントをメール、カレンダー、スマート家電、さらには投資口座にまで接続するようになると、リスクにはさらに一層が加わる。こうしたエージェントの「言われたことをそのまま実行する」という特性——人間の従業員のようにためらうことがない——により、たった一度のプロンプトインジェクション攻撃が、権限チェーン全体にわたる一連の動作を引き起こしかねない。MetaのInstagramサポートボットは、実際のアカウント復旧権限を与えられながら判断力を一切持たないAIエージェントの典型例だ。
防御側は「レッド・ブルー・グリーン」の三色エージェントチームを結成
Trend Microがサイバーセキュリティ従事者を対象に行った調査では、現在最優先で防ぐべき対象は詐欺とディープフェイク攻撃であり、その次にプロンプトインジェクション、モデル汚染、ジェイルブレイク（脱獄）が続くという結果が出ている。最も監視が困難な環境はクラウドであり、次いで従業員の私物デバイス（BYOD）によるリモートワーク環境が挙げられている。
同時期にMicrosoftが発表したProject Perceptionは、複数のAIエージェントを使って従来のセキュリティチームの役割分担をシミュレートする手法だ。レッドエージェントは侵入テストと敵対的シミュレーションを担当し、ブルーエージェントは調査とリスク評価を、グリーンエージェントは統合とパッチ適用を担う。つまり、AI対AIによって攻防の速度差を埋めようという試みだ。
もう一つ記憶に留めておくべき数字がある。Anthropic、英国AIセキュリティ研究所、アラン・チューリング研究所が2025年10月に発表した研究によれば、意図的に仕込まれた悪意のある文書がわずか250件、学習データに混入するだけで、モデルにバックドアを植え付けるのに十分だという。この種の攻撃は現時点では大半が研究者によるテスト段階にとどまっているが、そのハードルの低さは既に十分すぎるほど証明されている。
Metaのあのサポートボットのその後の顛末は報告書には記されていないが、それが示した問題は今後も残り続けるだろう——企業が「言われたことをそのまま実行する」システムにアカウント権限を委ねる限り、攻撃者は技術など知らなくても構わない。ただ、どう頼めばいいかを知っていればいいのだから。
