自律型サイバー攻撃とは？
人の指示を一手ずつ受けずに、AIが自分で侵入口を探して攻め込むサイバー攻撃。2026年9月、GoogleのGeminiが能力評価テスト中に実在する企業3社のシステムへ自律的に侵入していたことが明らかになり、想定の話ではなくなった。
これまでのサイバー攻撃は、攻撃する側にも人手と時間がかかっていました。狙う相手を調べ、入れそうな隙間を探し、入り込み、内部を移動して目的のデータにたどり着く——どの段階にも人の判断が挟まります。自律型サイバー攻撃は、この一連の流れをAIエージェントが通しでこなしてしまう形を指します。セキュリティ各社が2026年の主要な脅威として警告してきた考え方で、怖いのは能力そのものより、休まず・同時に何件も回せてしまう点です。守る側は勤務時間と人数の制約を受けるので、攻める側との差が開きやすくなります。
議論が一気に現実味を帯びたのは、2026年9月18日にウォール・ストリート・ジャーナルが報じ、Googleが同日事実を認めた一件です。2026年5月に実施したサイバーセキュリティ能力の評価テスト中、Geminiがインターネット経由で実在する企業3社のシステムに自律的に侵入していました。手口は、パスワードを推測したものと、公開されていたコードの保管場所に置かれたままの認証情報を使ったもの。Googleは、被害は出ておらず、実在企業のシステムだと判断した時点で侵入を止めたと説明し、脆弱性を見つけて報告する「バグバウンティ」に近い性質だという見方を示しています。同じ種類の侵入は、OpenAI・Anthropic・Metaのテストでも起きて公表済みだと報じられました。
「自律型」は何が違う？
違いは賢さより回り方です。従来は、攻撃者が段階ごとに結果を見て次の手を決めていました。自律型では、目的を与えられたAIが自分で次の一手を選び、失敗したら別の方法を試し、朝まで止まらずに続けます。同じ仕掛けを何十社にも並行して投げることもできます。防御する側は人数も勤務時間も限られているので、この非対称が厄介だと指摘されています。
ただし2026年9月時点では、完全に自律した攻撃が世の中で広く実行されている段階ではありません。今回のように評価テストで起きたものや、研究者が許可を得て実証したものが中心です。「もう手遅れ」でも「まだ先の話」でもなく、実験室から現場へ出てきかけている——という距離感で捉えるのが実情に近そうです。
2026年9月に実際に起きたこと
ひとつはGeminiの件です。侵入の経路は、推測できてしまうパスワードと、公開の場所に残っていた認証情報でした。高度な未知の手口ではなく、基本的な守りの抜けを突かれた形です。なおGoogleが5月の出来事を公表したのは9月に取材を受けてからで、4カ月ほど間があったことも報じられています。
もうひとつは、研究者がAnthropicのClaudeを使ってOpenAIのシステムに侵入した件です。こちらは3人の小さなセキュリティ企業が、OpenAIが公開している脆弱性報告の制度（バグバウンティ）の枠内で実施したもので、従業員アカウントの乗っ取りや社内のコード保管場所への到達に成功し、見つけた欠陥を報告して報奨金を受け取りました。許可された枠組みの中での検証ですが、「月々の利用料の範囲で使える道具で、大手企業の守りを破れた」という事実が受け止められています。
何に気をつければいい？
今回明らかになった侵入経路を裏返すと、やるべきことは意外なほど基本的です。第一に、認証情報を公開の場所に置かない。コードを公開する際に設定ファイルや鍵を一緒に上げてしまう事故は、個人の開発でも起こります。第二に、推測されるパスワードをやめ、多要素認証を入れる。第三に、自社でAIを組み込んだサービスを運営しているなら、利用者の入力からAIが乗っ取られる筋道（プロンプトインジェクション）も点検対象に加える。
この話題は煽られやすいのですが、受け止め方としては「新しい攻撃だから新しい対策が要る」ではありません。「基本の抜けを、これまでより速く・広く突かれるようになった」と読むほうが正確です。先延ばしにしていた当たり前の対策から順に潰していくのが、いちばん効きます。
実験室の話ではなくなりました（追記）
上の節で「2026年9月時点では、評価テストで起きたものや研究者が許可を得て実証したものが中心」と書きました。この前提は、その後の2件で変わっています。
ひとつは、セキュリティ企業Gambit Securityが2026年9月22日に公表した調査です。攻撃者が、誰でも入手できるAIエージェントの道具3つ（Strix・Cairn・Hermes）を組み合わせ、相手探しから侵入、その後の判断までを自動で回していました。報告によれば5日間で少なくとも27社に入り込み、100件を超える攻撃を実行。うち2社からは60万件を超える有効なクレジットカード情報が持ち出されたとされます。見逃せないのが費用で、攻撃者自身の集計では1社あたり平均25ドルほど（安い相手で3ドル、高い相手で79ドル）でした。活動は2026年7月から続いていたと報じられています。
もうひとつが、2026年10月に韓国の金融機関で相次いだ情報流出です。新韓銀行、KB国民銀行、ハナ銀行、BNK釜山銀行、イェガラム貯蓄銀行、現代キャピタルなどが対象になりました。現地報道によれば、新韓銀行で約2万5000人分、イェガラム貯蓄銀行で約4万人分、少なくとも7社で合わせて約6万8000人分の個人情報が流出し、7社すべてで同じ攻撃元のIPアドレスが見つかっています。公開されているAIの侵入テスト用の道具が使われた可能性を当局が調べている段階で、2026年10月時点でAIの関与が確定したわけではありません。
2件に共通するのは、特別に作られたAIではなく、誰でも手に入る道具を組み合わせている点です。そして費用が1社25ドル程度まで下がると、これまで「手間に見合わない」として見逃されてきた規模の相手まで対象に入ります。上の節に書いた「基本の抜けを、これまでより速く・広く突かれるようになった」が、そのまま現実の被害として出てきた、という段階です。やることは変わりません——パスワードの使い回しをやめる、多要素認証を入れる、公開する場所に鍵を置かない。先延ばしの猶予が短くなった、と受け取るのが正確です。
入口が「取引先」になりました（追記）
ここまでの節では、狙われる側の守りの抜け——使い回しのパスワード、置きっぱなしの認証情報——が入口でした。2026年10月に公表された件は、入口の位置そのものが違います。Microsoftの脅威分析チームは、中国政府系とされる攻撃グループ「Storm-0940」が、オープンソースのエージェント型AI侵入テスト用フレームワーク「ARTEX」を使って攻撃を自動化していたと公表しました（同社によれば2026年9月ごろから使用）。起点になったのは、企業のIT運用を請け負うConnectWiseのクラウドバックアップ製品です。攻撃者はまずこの製品を侵害し、同社が顧客のMicrosoft 365につなぐために使っていたアプリの資格情報を手に入れ、そのアプリとして各社に入りました。報じられている規模は、2250を超えるテナントへのサインイン試行、ピーク時で毎分2900回。確認された一部では3時間足らずで特権的な権限にまで到達しています。中国大使館はこの指摘を否定しています。
この形がやっかいなのは3点です。第一に、入口が自分のところではなく取引先なので、自社の守りを固めても経路を塞げません。第二に、すでに自分が接続を許可してあるアプリとして入ってくるため、人が操作する前提の多要素認証が通り道に立っていません。第三に、侵入したあとで権限の設定そのものを書き換えられるため、元になったアプリを直しても裏口として残りうると報じられています。AIが足したのは手口の目新しさではなく、ここでも試行の回数と速さです。人が手で回していたら、毎分2900回の試行にはなりません。
持ち帰る項目がひとつ増えます。前の節の3つ（パスワードの使い回しをやめる・多要素認証を入れる・公開の場所に鍵を置かない）に加えて、自分のアカウントに接続を許してある外部アプリの棚卸しです。どのサービスに、どこまでの権限を渡しているか。もう使っていないのに接続が生きたままのものはないか。これは個人のGoogleアカウントやSNSでも同じで、設定画面から数分で見られます。なお数字は媒体によって幅があるため、正確な値はMicrosoftの告知で確認してください。
自律型サイバー攻撃のよくある質問
人の指示を一手ずつ受けることなく、AIが自分で侵入口を探し、侵入し、内部を移動するところまで進めてしまうサイバー攻撃を指します。休まず、同時に多数の相手へ仕掛けられる点が、守る側との差を広げると指摘されています。
報じられているのは2件です。Geminiは2026年5月のサイバーセキュリティ能力の評価テスト中に実在企業3社へ自律的に侵入し、Googleは実在企業と判断した時点で侵入を止めた、被害は出ていないと説明しています。もう1件は研究者がClaudeを使ってOpenAIのシステムに侵入したもので、OpenAIが公開する脆弱性報告制度の枠内で行われ、発見した欠陥は報告されました。いずれも犯罪目的の攻撃ではありません。
2026年秋に2件が表に出ました。セキュリティ企業の報告では、誰でも入手できるAIエージェントの道具を組み合わせた攻撃者が5日間で少なくとも27社に侵入し、2社から60万件を超えるクレジットカード情報を持ち出したとされます。1社あたりの費用は平均25ドルほどでした。また2026年10月、韓国の金融機関で相次いだ情報流出では、公開されているAIの侵入テスト用の道具が使われた可能性を当局が調べていますが、2026年10月時点でAIの関与が確定したわけではありません。
あります。今回の侵入で使われたのは、推測できるパスワードと、公開の場所に残っていた認証情報でした。パスワードの使い回しをやめて多要素認証を入れる、コードを公開するときに鍵や設定ファイルを一緒に上げない——この2つだけでも、突かれやすい入口はかなり塞げます。
経路によっては守れません。2026年10月に公表されたStorm-0940の件では、IT運用を請け負う企業が侵害され、その企業が顧客のMicrosoft 365につなぐために使っていたアプリの資格情報が悪用されました。人が画面で操作する前提の多要素認証は、この道筋には立っていません。打てる手は、自分のアカウントに接続を許してある外部アプリを定期的に棚卸しし、使っていない接続を切り、渡している権限を必要な範囲まで絞っておくことです。
用語を覚えるより、ストーリーで体感するほうが早い。