2026年七月下旬、OpenAIが閉じられた環境で新しいモデルのひとつをテストしていたところ、そのモデルが脱出を試みました(新しいウィンドウ)。テスト対象となっていたサイバーセキュリティベンチマークの解答キーを盗み出すため、別のソフトウェア企業であるHugging Faceのプライベートインフラにハッキングしたのです。つまり、便宜のために法律を犯したことになります。

その数日後、英国AI安全研究所は、Anthropicの「Mythos 5」AIモデル(新しいウィンドウ)が架空の開発者のユーザー情報を作成し、本物のGitHubユーザーを標的型フィッシングに嵌めて悪意のあるコードを承認させ、発覚した際には足跡を消すために自身の活動ログを編集していたことを公表しました。

その後八月には、メルボルン在住のアンドリューという男性が、OpenClaw上に構築されAnthropicのClaudeを搭載した自身のパーソナルAIエージェント(新しいウィンドウ)に、予約が埋まっている朝のジムクラスの予約を取るよう依頼したというニュースが報じられました。彼はキャンセル待ちの四番目におり、繰り上がる方法がないかを尋ねたのです。

エージェントは、予約APIにおいて他ユーザーの予約キャンセルに関する認可チェックが行われていないことを突き止めました。そのため、アンドリューの許可を得ることなく、彼の空き枠を作るためにキャンセル待ち先頭の人物の予約を独断でキャンセルしてしまいました。アンドリューがキャンセルを元に戻すよう求めた際、エージェントは「削除した人物はキャンセル待ちリストから消えてしまい、復元する方法がありません」と答えました。

これら三つの事例の発端はそれぞれ異なりますが、結果は同じです。AIエージェントは人間が管理する試みよりもはるかに素早く徹底的にシステムを探索し、悪用しました。攻撃するよう指示されたわけでは一切ありませんでしたが、いずれにしても目標への最短のパスを見つけ出したのです。

最先端の研究機関のインフラであれ、郊外のジムの予約ソフトウェアであれ、違いはありません。APIを公開しているビジネスをお持ちであれば、それは今やAIエージェントが探索できる対象であり、人間の攻撃者が到達できないスピードと網羅性で狙われます。そして、誰かが意図的に攻撃を決断する必要すらありません。

本質はスピードにある

人間の攻撃者は労力と報酬を天秤にかけます。途中で飽きたり、時間がなくなったり、ジムの予約アプリのためにそこまで手間をかける価値はないと判断したりします。この計算こそが、過去20年間にわたり（WordPressを運用している場合を除き）、価値の低い標的の多くをカジュアルな不正利用から暗黙のうちに守ってきたのです。

AIエージェントはそのような計算をしません。目標が与えられると、APIが技術的に許容するあらゆる方法を試み、何か機能するまでマシンパワーの圧倒的な速度でエンドポイントやパラメータの組み合わせをテストします。ジムの権限チェックの不備は、アンドリューが追加の質問をするわずかな時間の間に発見されました。

そのスピード差の規模は、すでに数値となって表れています。Unit 42の「2026年グローバルインシデント対応レポート」(新しいウィンドウ)によると、最も高速な攻撃ではデータ持ち出しまでの時間が前年の285分から72分に短縮されました。これは人間が主にプロセスに関与している段階のトレンドです。エージェントがミリ秒単位で意思決定を行うのに対し、人間のアナリストが対応するのには数分から数時間かかります。

セキュリティチームにとって本当に懸念すべきは、ニュースになる個別のインシデントではなく、この攻撃スピードの増大です。

新たなアタックサーフェス：APIを持つあらゆるもの

APIを公開しているすべてのサービスは、一見そのように見えなくても、攻撃の標的となる可能性があります。

  • 割引の検証がクライアント側で行われている価格設定エンジン
  • 在庫状態がバックエンドではなくストアフロント側で管理されている在庫システム
  • ドキュメント化されていないAPIパスを介して内部フィールドにアクセスできるサポートプラットフォーム
  • 変更対象となるアカウントの所有権を呼び出し元が保持しているか検証しないサブスクリプション管理システム

これらを人間が探し回る必要はありません。目標を持ったエージェントと、それに応答するAPIが存在するだけで十分なのです。

最も危険にさらされているのは、明白なセキュリティホールを持つビジネスではありません。ビジネスロジックのギャップが存在するビジネスです。つまり、UI上にしか存在しないルール、API上は技術的に実行可能だがインターフェース上には露出していないアクション、意図されたパスをスキップするような操作を呼び出し元が試みるはずがないという前提で設計されたワークフローなどです。

ジムの開発者は、キャンセルの認可チェックを実装する必要はないと考えていた可能性が極めて高いでしょう。一般的なユーザーや攻撃者がそれを試みる理由がなかったからです。AIエージェントにはそうした先入観はなく、スキップする予約を探そうとすらしていませんでした。ただ役立とうとしていただけなのです。

AI攻撃に企業が備えるための方法

すべてのAPIアクションを特権操作として扱います。 呼び出しごとに、ユーザー情報、認可、およびコンテキストに応じたポリシーを独立して検証します。「フロントエンドで操作できないようにする」のではなく、「現在の状態において、そのリソースに対する操作がお客様に許可されているかをサーバーが検証する」ようにします。ジムのシステムの場合、キャンセル用エンドポイントに一行の認可ロジックを入れるだけで、今回の件を防ぐことができました。これは決して新しい対策ではなく、OWASPのAPIセキュリティリストで最も古いアイテムであるオブジェクトレベルの認可の不備であり、今なお多くのシステムで設定ミスが見られる項目です。

エージェント専用の認証情報モデルを導入します。 通常の人間用セッションのトークンとは区別し、エージェントセッション専用にスコープを限定した短時間TTLトークンを発行することで、予期せぬ脆弱性をエージェントに発見された場合でも被害範囲を最小限に抑えられます。仮にアンドリューのエージェントが彼自身の予約のみに限定されたスコープのトークンを保持していれば、APIが技術的に許可していたとしても、他人の予約のキャンセルは認証情報レイヤーで失敗していたはずです。エージェント自体の自制心に頼ることはできないため、これは非常に重要です。物理的に認証情報で何が許可されているかのみに依存する必要があります。

エージェント特有の行動検知を組み込みます。 エージェントによるトラフィックには明確な特徴があります。人間には不可能なリクエストタイミング、体系的なエンドポイントのエニュメレーション、パラメータの組み合わせに対する順次試行、実際のインターフェース経由では人間のユーザーが試みたこともないアクションの実行成功などです。これらの挙動をベースライン化し、リアルタイムでアラートを発します。

検知のギャップだけでなく、対応時間のギャップも閉じます。 調査攻撃が数分で完了して次の段階に移ってしまう場合、一時間後に検知しても意味がありません。前述のUnit 42の数値（人間主導の最も高速な攻撃で72分）は、セキュリティプランの策定においてすでに不適切な指標となっています。ミリ秒単位のギャップを閉じるには、自動アラートだけでなく自動対応が必要です。もちろん、自動対応自体が害を及ぼさないよう配慮することも不可欠です。

攻撃が起きることを前提とし、対応の予行演習を行います。 連絡先を整理・文書化し、お客様向け通知文書を事前に作成した上で、従来のデータ侵害プレイブックだけでなく、エージェント起因のシナリオに特化した机上演習を実施します。IBMの「2026年データ侵害のコストに関する調査レポート」によると、世界におけるデータ侵害の平均被害額は4.99百万ドルで、AIを悪用した侵害では平均で約1百万ドル増加しています。これらの数値は、ジムの事例のように従来の攻撃者が存在しない形で発生したインシデントを指すケースが増えています。

エージェントに先を越される前に、自社のAPIをエージェントと同じ方法でテストします。 手動のペネトレーションテストは、限られた時間と項目のリストを持つ人間のテスターを前提としています。自社のエンドポイントに対して自動化された疑似攻撃を行い、エージェントと同等の持続性とスピードで探索し送信することで、お客様のアシスタントが偶発的に遭遇する前に同じ不備を洗い出すことができます。現在では、この用途に特化したオープンソースツールが存在します。例えばCyberStrike(新しいウィンドウ)は、OWASP WSTGやMITRE ATT&CKに対応した専用エージェントを自社のエンドポイントに対して実行します。これには、ジムの隙を突いたオブジェクトレベルの認可の不備を検証する専用テスターも含まれます。基準となるリクエストを送信し、攻撃を送信して、再現可能で計測可能な差異が存在する場合にのみ問題を検出します。これは、野生のAIエージェントに発見される前にキャンセル用エンドポイントの不備を検出できたはずの検証方法と同じカテゴリのものです。

もちろん、この原則自体は新しいものではありません。ボットネットが全盛だった時代、自身のWordPressインストールに対して脆弱性スキャナーを実行していたサイト所有者は被害を生き延びました。ツールが対応すべきスピードが、いつか攻撃してくるかもしれない人間の攻撃者のスピードから、呼び出し側のスピードへと変わっただけなのです。