はじめに
生成AIの普及によりサイバー攻撃にもビジネスメール詐欺やディープフェイクなどAIを悪用した手口が急増しています。また、2026年1月に独立行政法人情報処理推進機構（IPA）から公表された「情報セキュリティ10大脅威2026」の組織向けランキングにおいても「AIの利用をめぐるサイバーリスク」が初めて選出され3位にランクインしています[1]。
このランキングは、約250名の専門家による審議を経て、2025年の社会的な影響度を反映して決定されました。「AIの利用をめぐるサイバーリスク」が長年首位を独占する「ランサムウェア」や「サプライチェーン攻撃」といった既存の組織向け脅威に並ぶことは、サイバー攻撃が「固定された脅威」から「学習し、適応する脅威」へと進化したことを象徴しています。これまでの10大脅威の多くは、攻撃の背後に人間が介在していました。しかし、AIが単なるツールではなくAIエージェントとして自律的に動作することで、人間が介在しない速度でネットワーク内を自律的に動き回り、防御側が想定していなかった設定ミスや未知の脆弱性をその場で発見し悪用する可能性が浮上しています。
本記事では、AIエージェントを搭載し、自律的に増殖する「AI駆動型ワーム」の研究を通して、AI時代のセキュリティ対策について解説します。
1. 駆動型ワーム とは
2026年6月2日、Nicolas Papernot教授が率いるトロント大学のサイバーセキュリティ研究室 CleverHans Lab のチームが、AIエージェントを搭載した自律的に増殖する「AI駆動型ワーム」という新しいタイプのサイバー脅威を実証しました。
1-1 研究の背景
ワームとは、コンピュータから別のコンピュータへ自己複製することによりネットワーク上で拡散するマルウェアの一種です。2017年に発生したWannaCryのような従来のワームでは、あらかじめ公開されている脆弱性を悪用することによりワーム設計時に決められた脆弱性を突く「固定化されたコード」で動作していました。そのため、対象の脆弱性にパッチを適用することで拡散を阻止できました。
CleverHans Lab のチームの研究では、AIエージェントが攻撃対象に合わせて自律的に攻撃の戦略を思考し生成するワームの可能性を実証しています。このワームは、侵害したコンピュータのGPUノードを盗んで使用し、オープンウェイトモデル（ローカルで動作するAI）の大規模言語モデル（LLM）を実行することで攻撃の推論を維持、あるいは攻撃の範囲を拡張します。そのため、一般的に「AI駆動型ワーム」と言われています。また、新規感染ごとの限界コストは一切かかりません。
1-2 実験で示された驚異的な能力
この研究ではAI駆動型ワームをLinux、Windows、IoTデバイスが接続されている企業を模したネットワーク環境に仕込むことで、一般的な脆弱性を悪用しながら伝播しました。そして、実証結果として下記3つの能力が示されました。
・高い成功率：AI駆動型ワームはわずか1週間でネットワーク全体の約62%に拡散し、自身でコードを書き換え別マシンへ侵入(感染)したものを次世代として最大7世代まで自己複製を繰り返しました。
・最新情報の取り込み：AIが学習を終えた後に公開された脆弱性であっても、AI駆動型ワームは実行時にその公開されたアドバイザリーを読み込むことで、即座に攻撃コードを作成して悪用しました。
・自律的なエラー回避：実験中にワームが動かなくなった原因を「通信の暗号化（TLS）エラー」や「仮想マシンの検知チェック」に問題があるためと自ら診断し、自身のソースコードを書き換えてエラーを回避しました。
2. 駆動型ワームがもたらす3つの新しい脅威
この研究によって示された驚異的な能力により、サイバー攻撃に対してAI駆動型ワームがもたらす新しい3つの脅威が浮き彫りになりました。
・「固定コード」から「推論する敵」への転換：AI駆動型ワームはあらかじめ決められたプログラムに従うのではなく、目標達成のためにリアルタイムで推論し、試行錯誤を行います。一つの脆弱性が修正されても、別の弱点（設定ミスや再利用されたパスワードなど）を見つけ出すまで推論を止めません。
・「寄生型」のリソース利用と経済性の崩壊：AI駆動型ワームは、侵害したマシンの計算資源（特にGPU）を盗んで自身のAI推論に利用します。これにより、従来のワームでは限界コストが必要となるため、攻撃が無限に増加する可能性は低いと思われていましたが、AI駆動型ワームでは限界コストゼロで攻撃を無限に拡大できるようになります。
・中央集権的な制御の無効化：AI駆動型ワームはChatGPTのような商用AIサービス（API）ではなく、インターネットから誰でも入手できる「オープンウェイトモデル」で駆動します。そのため、AIメーカーによる利用制限や監視といった安全対策は一切通用しません。
表１ 従来型ワームと駆動型ワームの違い
3. 想定される4つのサイバー攻撃シナリオ
前節で述べたことから、近い将来のサイバー攻撃として想定されるシナリオは4つあると考えられます。
・EDRやアンチウイルスを検知して「動作を自律変更」するステルス化
EDRやアンチウイルスなど従来のセキュリティ対策製品は、既知のウイルスが持つシグネチャや怪しい挙動を検知して攻撃をブロックします。ですが、AI駆動型ワームはこれらのセキュリティ監視を検知した後、プロセスの実行速度を極端に遅くして通常のシステム処理に擬態したり、監査ログを自ら消去して痕跡を無くすといった戦略をその場で生成したりする可能性が懸念されています。
・ネットワーク構成をその場で解析し「感染経路を最適化」する横展開
社内ネットワークに侵入したワームは、周囲にあるほかの端末へと感染を広げる必要があり、通常はネットワークの全体像を知らずに拡散していきます。ですが、AI駆動型ワームは未知の社内ネットワーク内を自律的に探索し、自らネットワーク構成図を描いていくことで侵入不可な経路は放棄し、セキュリティが手薄なIoTカメラや開発用サーバなどを経由する迂回ルートを即座に再設計して拡散します。
・利用者のやり取りに溶け込む「ピンポイント・フィッシング」
サイバー攻撃の初期侵入として最も多く使われるのがフィッシング詐欺ですが、従来の機械的な大量送信メールは人間が見破ることも容易でした。しかし、AIの場合は「今、誰が、誰と、何の業務連絡を行っているか」を正確に理解した上で、その文脈に合わせて偽の返信内容や添付ファイルを自律的に生成して送信します。そのため、同僚や顧客からのメールだと誤認されやすくなり社内ネットワークへの足掛かりに繋がるリスクが高くなります。
・AIによる「脆弱性の自動探索」と「ターゲットの優先順位付け」
社内ネットワーク内にある多数の端末やサービスの中から、侵入価値が高いターゲットを自動でランク付けします。また、最新の脆弱性公開情報をリアルタイムにインターネット経由で自身のナレッジベースに取り込み、学習データに含まれていなかった最新の攻撃をその場で実行コードに変換して悪用します。すなわち、人間がベンダーのパッチをテストして適用するまでの数日間のうちに、AI駆動型ワームはその存在する脆弱性を自動探索してパッチ未適用の端末に攻撃を行います。
4. 企業が取るべき対策
AI駆動型ワームを用いた想定される脅威に対抗するためには、既存の対策を強化する必要があります。前章の3で述べた各攻撃シナリオへの対策を下記で紹介します。
・EDR/XDRの導入
前述の【EDRやアンチウイルスを検知して「動作を自律変更」するステルス化】に対する対策として有効です。
AI駆動型ワームは検知を回避するために攻撃コードの外見をその場で書き換えることはできますが、自己複製を行い遠隔から操作されて動くというワームの本質的な動作までは隠せません。防御する側は、攻撃の検知手法を従来のシグネチャ検知から振る舞い検知にすることで隠ぺいを試みるAI駆動型ワームの痕跡を早期に発見することができます。
・ゼロトラスト・アーキテクチャとマイクロセグメンテーション
前述の【ネットワーク構成をその場で解析し「感染経路を最適化」する横展開】に対する対策として有効です。
社内ネットワークに入り込んだAI駆動型ワームはネットワーク全体を掌握しながら拡散し続けます。そのため、ネットワークを細かく分断（マイクロセグメンテーション）し、一度侵入された際の横展開を物理的に制約することでAI駆動型ワームの拡散を阻止する必要があります。また、社内ネットワークにおける全ての接続要求に対して厳格な認証を求めるゼロトラスト・アーキテクチャの徹底も欠かせません。これにより、AIがどんなに迂回ルートを探索しようともアクセス制限の壁に阻まれ横展開ができなくなります。
・権限管理の厳格化
前述の【利用者のやり取りに溶け込む「ピンポイント・フィッシング」】に対する対策として有効です。
AIがどれほど巧みに人間を騙して内部のアカウント権限を奪取したとしても、システム側に攻撃を継続させるためのツールが無ければそれ以上活動することはできません。従って、サーバやPCに導入されるソフトウェアやライブラリ、不要なパッケージなどの依存関係を最小限に抑えることが重要です。これはアカウント権限をそれぞれのシステムに最小限必要な分だけに留めることで実現可能なことが多いです。権限を最小限にすることで、AIが奪取したアカウントからシステムの中枢へアクセスする際に権限昇格されるリスクを減らすことができます。
・ファジングとパッチ適用の自動化
前述の【AIによる「脆弱性の自動探索」と「ターゲットの優先順位付け」】に対する対策として有効です。
AI駆動型ワームは脆弱性が公開されてからわずか数時間のうちに、その情報を読み込んで即座に攻撃コードへと自動変換します。そのため、従来の手動プロセスであるベンダーのパッチをテストして適応する対応では手遅れとなります。このスピード戦に対抗するためには、防御側もAIを搭載したパッチ検証適用自動化システムを導入して、脆弱性情報が公開された瞬間に自動でパッチを検証して展開するインフラを整える必要があります。また、常日頃から社内ネットワークに対してAIによるペネトレーションテストやファジングを行うことで、早めに弱点を発見し改善しておく「能動的サイバー防御」の体制を備えておくべきです。
5. まとめ
本ニュースでは現在主流の脅威ではなく、今後現実味を帯びる可能性がある攻撃モデルとしてAI駆動型ワームを取り上げました。AI駆動型ワームの最大の脅威は、全ての意思決定プロセスが人間のオペレータを介さずにコンピュータのスピードで完全に自律的に実行されることです。攻撃の限界コストがゼロであり、誰でも簡単に手が届くオープンウェイトモデルで動作するこの脅威に対して、人間の手作業による監視やパッチ適用だけでは防ぎきれなくなります。防御する側もゼロトラスト・アーキテクチャの徹底や自動化された脆弱性パッチ適用など、AIのスピードに対抗するためAIを活用したより基本的なセキュリティ対策を備える必要があります。
6. 参考文献
[1] 情報セキュリティ10大脅威 2026 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
https://www.ipa.go.jp/security/10threats/10threats2026.html
[2] AI AGENTS ENABLE ADAPTIVE COMPUTER WORMS
https://arxiv.org/pdf/2606.03811
[3] AI Agents Enable Adaptive Computer Worms
https://cleverhans.io/worm.html
7. SSKの総合セキュリティサービスについて
SSKでは総合セキュリティサービスとして、セキュリティ運用監視サービス、脆弱性診断サービス、デジタル・フォレンジックサービスなどのセキュリティサービスを展開しております。
セキュリティ運用監視サービスでは、24時間365日、リアルタイムでセキュリティログの有人監視を行っております。サイバー攻撃対策としてセキュリティ機器を導入しても、継続的な運用監視と分析・判断が伴わなければ十分な効果は得られません。セキュリティ運用監視サービスでは、不審な通信やアラートを継続的に分析し、迅速な通知によって、インシデント発生時に適切に対処できるよう支援いたします。
脆弱性診断サービスでは、お客様のシステムを診断し、検出された脆弱性への対策をご提案させていただいております。テレワークの常態化やIoT等のデバイスの多様化が進む昨今、特定の攻撃経路だけを想定した「境界防御」に加えて、脆弱性を把握・管理・対処する『本質防御』も必須となっています。脆弱性診断サービスのご活用により、お客様のシステムにおける脆弱性の存否が明らかになります。
デジタル・フォレンジックサービスでは、万が一のインシデント発生時に、コンピュータやセキュリティ機器などに残された情報を分析し、侵入経路や情報窃取の痕跡等を特定するフォレンジックサービスを提供しております。また、平時の備えとして証拠保全の訓練などを実施する事前アドバイザリーサービスも提供しております。
これらの当社総合セキュリティサービスにより、インシデントの予防と、発生時の迅速な対処を両立し、対策コストや被害の抑制に貢献します。
【参考URL】
セキュリティ運用監視サービス：
https://www.ssk-kan.co.jp/e-gate#e-gate--02
脆弱性診断サービス：
https://www.ssk-kan.co.jp/vulnerability-assessment
デジタル・フォレンジックサービス：
https://www.ssk-kan.co.jp/digital-forensics
※本資料には弊社が管理しない第三者サイトへのリンクが含まれています。各サイトの掲げる使用条件に従ってご利用ください。
リンク先のコンテンツは予告なく、変更、削除される場合があります。
※掲載した会社名、システム名、製品名は一般に各社の登録商標 または商標です。
≪お問合せ先≫
サービス＆セキュリティ株式会社
〒151-0051
東京都渋谷区千駄ヶ谷5丁目31番11号
住友不動産新宿南口ビル 16階
TEL 03-4500-4255
FAX 03-6824-9977
sales@ssk-kan.co.jp