AI時代の攻撃を探る

従来の情報セキュリティへの対応にすでに苦慮しているCISOにとって、AIはまったく新たな悩みの種です。工場、研究所、オフィスなど、AIを導入する場所や、AIを介して既存のテクノロジーにアクセスできるようにする場所には、出現したばかりのまったく新しい攻撃対象領域が生まれます。

ChatGPT、Gemini、Llama、DeepSeek-R1を含む主要なAIモデルのすべてで、すでに脆弱性が確認されています。組織がAIエージェントをより広範なシステムに接続しようとする一方で、脅威アクターも確実に動きを進め、AIを侵入口として利用できないか探っています。侵入に成功した場合、攻撃の影響範囲が飛躍的に拡大する可能性があります。

AI時代に強固なセキュリティ態勢を確立するには、攻撃者の手口を理解することが重要です。攻撃の各段階を分析することで、脆弱性の特定に役立つとともに、防御をプロアクティブに強化し、潜在的な被害を防ぐための基盤を築くことができます。

従来の「ルール」が適用される

組織的な攻撃者には、攻撃によって達成しようとする明確な「目的」があります。次に焦点となるのが「領域」です。たとえば、目的が国家に損害を与えることであれば、その領域には医療部門、銀行システム、航空交通管制などが含まれます。

脅威アクターにとって、標的とする分野の選定は重要です。分野ごとにセキュリティルール、規制、防御策が異なるためです。金融サービスは世界でも特に厳重に保護されている分野の1つですが、医療サービスは歴史的に情報セキュリティ対策が不十分です。しかし、十分に保護されたシステムであっても、AIによって攻撃者の新たな侵入経路が生まれています。

分野を選定した後は、具体的な「標的」を選びます。保険会社に対する詐欺が目的であれば、規模、所在地、セキュリティ基準などの属性に基づいて、多数の候補から標的を選べます。十分なAIセキュリティ対策を講じずにAI導入を大々的にアピールする企業は、標的にされる可能性があります。先行者利益には不利益も伴います。

標的の調査

標的を特定すると、脅威アクターは次に偵察へと移ります。攻撃対象となり得る、アクセス可能な資産は何かを探る段階です。ここで重要なのは「アクセス可能」という点です。アクセス可能な資産には通常、Webサイト、モバイルアプリ、ATM、公開サーバーなど、人が操作するものが該当します。

しかし、脅威アクターは目につきやすい箇所だけを狙うとは限りません。組織には、普段あまり使用されないネットワーク接続ポイントが多数存在する場合があります。そのうちの1つが誤って稼働状態のまま放置されると、悪用されて重要なシステムへのアクセスを許すおそれがあります。エージェント型AIについても、今や考慮が必要です。AIと仮想および物理エンティティとの接続が進むなか、これまで到達できなかった資産にもアクセスできるようになっているのでしょうか。

攻撃者にとって、脆弱性の探索はシステムへの侵入経路を見つける最も簡単かつ効率的な方法です。その手法は数多くあり、AIによって新たな手段も生まれています。これには、AIモデルが日常的なユースケースに適用される推論レイヤーでの手法も含まれます。

AIの構造を解き明かす

ここからは技術的な話になります。攻撃者はAIアプリケーションを調査する際、Webチャットインターフェースを使用する代わりに、対象のWebサイトで［ソースを表示］を使用します。［ネットワーク］タブをクリックすると、AIアプリケーションにチャット内容を入力した際の送信先エンドポイントを確認できます。

攻撃者は、Webサイト経由ではなくコマンド端末からそのエンドポイントを切り分けて、未加工のレスポンスを取得できます。これにより、攻撃をさらに進める手掛かりとなる追加のメタデータなど、Webサイトのルートでは表示されない情報を探し出せます。

この時点で、ハッカーは攻撃の足掛かりをつかみつつあります。最初に6つのアセットを特定し、そのうち2つから有用なメタデータが得られた場合、最初の侵入経路となり得る手掛かりを得たことになります。脆弱性が比較的低いアセットはひとまず保留にできますが、最初の選択肢で成果が得られなければ、攻撃者が再び詳細な調査を行う可能性があります。

豊富な選択肢

本格的な脅威アクターは多様なツールを備え、攻撃を段階的にエスカレートさせます。簡単に言えば、まずは最も低コストで迅速な攻撃から始め、切り札となる攻撃を明かさないようにします。ポーンで事足りるなら、どんなチェスの名人も最も巧妙な一手を見せることはありません。

高度な攻撃手段は価値が高いものの、ひとたび特定されると、将来的に対策が講じられ、通用しなくなる可能性があります。そのため、攻撃者は最も貴重な攻撃手段を危険にさらすよりも、初歩的ないし中程度の攻撃手法を用いて、複数の資産を次々と標的にする可能性が高いと考えられます。

もちろん例外もあります。標的に十分な価値がある場合、攻撃者は最も高度な攻撃手段へとエスカレートする可能性があります。

攻撃の結果

攻撃が成功した場合、考えられる結果は「持ち出し」または「挿入」の2つです。持ち出しは、この2つのうち比較的単純で、金銭、財務データ、機密性の高い顧客情報など、価値のあるものを標的から抜き取ることを指します。

エージェント型AIでは、リスクが高まります。エージェント型AIシステムが、ブラウザやビジネスツールなどのアプリケーションと連携するためのオープン標準として、Model Context Protocol（MCP）を利用することが一般的になりつつあります。MCPはAnthropicなどが推進しています。

ブラウザは、メールシステムから銀行口座、予約エンジンに至るまで、あらゆるものにアクセスするための窓口です。ビジネスツールは機密情報にアクセスできます。このような環境では、MCPを介してエージェント型AIに接続されるものはすべて、重大な新たな攻撃対象領域と見なす必要があります。

挿入攻撃は対処がより難しく、被害も大きくなる可能性があります。自宅に侵入された場合に例えて考えてみましょう。まず何を盗まれたかが気になりますが、侵入者がカメラを残し、あなたの行動を逐一監視できるとしたら、どうでしょうか。

デジタル領域では、MCP経由でブラウザやアプリケーションにアクセスできるエージェント型AIにより、高度な挿入攻撃の新たな経路が生まれます。たとえば、ログの送信先となるエンドポイントを変更して外部のコレクターにログを送信したり、物理セキュリティのスケジュールを変更して週末に無効化したりする攻撃が考えられます。

脅威アクターは、攻撃時のラテラルムーブメントも視野に入れています。最初の侵入では中間管理職が使用するノートPCへのアクセスにとどまる可能性がありますが、それを足掛かりにシステム内を移動し、より上位の権限へ昇格する経路を見つける可能性があります。

オープンソースハンドブック

AIを取り巻くあらゆる領域と同様に、攻撃環境も急速に進化しています。初期モデルの開発者はその内部の仕組みを非公開にしていましたが、DeepSeekのオープンソースアプローチにより、R1モデルの手引きともいえる情報が事実上公開されました。これは、開発者と脅威アクターの双方にとって状況を一変させるものです。

1月下旬にR1が公開されて以来、すでに7,000を超える派生モデルが作成されており、その多くは出所が事実上不明です。コードの共有はイノベーションの促進に望ましい一方で、脅威アクターが既存および将来のAIモデルを攻撃する方法を探るため、R1の仕組みを調査していることは間違いありません。
これが脅威アクターの思考です。セキュリティコミュニティも、その動きに遅れを取らないようにしなければなりません。

潜在的なリスクを軽減するには、AIモデルやアプリケーションに対するプロアクティブかつ継続的なレッドチーム演習を含め、攻守両面で堅牢なセキュリティ対策を講じることが不可欠です。医療の世界と同様、事後検証よりも予防的な対策が望まれます。