企業の情報漏えいの公表が途切れない。カーシェアリングサービス「タイムズカー」からは約660万件、「焼肉きんぐ」の公式アプリからは約1079万件の情報が漏えいした。ITmedia エンタープライズ編集部で各社の公表資料を基に集計した結果、2026年9月16日から10月5日までの約3週間に漏えい（その恐れを含む）を公表した企業や組織は21に上り、対象となった情報は累計で約4370万件に達した。
攻撃者のAIは「深謀だが、緊急度は高くない」
これだけ事態が続くと、「攻撃者がAIを使った攻撃を仕掛けているのではないか」という見方も出てくる。ただ、各社が公表した原因は脆弱性の悪用や設定ミスとさまざまで、AIによる攻撃と特定された事案は見当たらない。
一方で、攻撃の現場でAIが武器になり始めているのは確かだと指摘する専門家がいる。Webアプリケーション脆弱性診断ツールを手掛けるエーアイセキュリティラボの清水裕之（代表取締役社長）だ。2000年からセキュリティ業界で攻撃と防御の変化を見続けてきた同氏は、生成AIが攻撃メールの「日本語の壁」を崩し、AIが脆弱性を見つけ出す件数を爆発的に増やしたと話す。それでも、緊急度と深刻度の両面で最も高い脅威は、AIで武装した攻撃者ではないという。
清水氏が最優先に挙げるのは、IT部門の管理が及ばないまま従業員が業務で使うAI、いわゆる「シャドーAI」への対策だ。
――企業は今、何に最も関心を向けるべきでしょうか。
清水氏：端的には「自社はAIを安全に使えているか」です。利便性が高いため現場の従業員は積極的に使い倒し、使うべきだとも思います。ただそれが安全に使えているかというと、何かあったときにどんな影響が出るのか、全員のコンセンサスが取れるレベルではまだ見えていません。便利だから皆がどんどん自由に使い始めている状況を考えると、深刻度と緊急度はともに高いでしょう。
攻撃者側がAIの悪用で高度化とスピードアップを進めているからこそ、守りを速くするためにAIをもっと活用すべきだ、というのが次に来ます。攻撃者のAI悪用は深刻ですが、緊急度はそこまで高くありません。だからこそ、今のうちに守り側のAI活用を進めるべきです。
「AIセキュリティ」が指す2つの文脈
――AIの脅威というと、「AIが実戦中に攻撃してしまった」といったAI企業の報告が話題になり、「AIが勝手に世界を攻撃する」という議論も目立ちます。どう見ていますか。
清水氏：ああいった話は「ものすごく大変なことだ」と騒がれ、映画の地球侵略のようなイメージで語られたり、新しいモデルが出るたびに政治が反応したりします。
とはいえ足元を考えると、AI利用は本当に広く進んでいます。連休中に親戚の小学3、4年生の子どもに会ったら、生成AIの話をしていて驚きました。正しく整備していかないと大変なことになります。
仕事利用でも、例えば上場企業のM&Aに関わる重要な情報をオープンなAIチャットに上げてしまう事態はゼロではないでしょう。実際に、業務の中で生成AIに機密情報を入力してしまい、漏えいの可能性があると公表する企業も出始めています。シャドーAIというキーワードはやっと出てきましたが、シャドーITや持ち込みPCと同列に語られています。本当はもう一段、二段上の脅威があるはずなのに、整備が追い付いていない感覚があります。
――そもそも「AIセキュリティ」は範囲が広い言葉です。どのように捉えていますか。
清水氏：われわれの会社や創業理念に立ち返ると、AIをフル活用して、煩雑で面倒なセキュリティをいかに楽にするかという「セキュリティ対策にAIを使う」文脈が強くなります。ただ、聞く側の市場の皆さんは「AIをいかに安全に使うか」の方と思い浮かべるでしょう。だから「AI for Security」と「Security for AI」という方向付けのキーワードは、きちんと作っておかないといけません。
個人的には、社名は「エーアイセキュリティラボ」ですが、「AIセキュリティ」という言葉だけがぽんと出てくれれば、原理原則で言えば「AIをいかに安全に使うか」を指すワードだと思っています。サイバーセキュリティも情報セキュリティも、守るべきもの、管理すべきものがあった上で作られた言葉だからです。
攻撃者はAIで何を手に入れたのか
――診断や調査の現場で、攻撃者側のAI活用による変化はありますか。
清水氏：正直、個人的だと思っています。率直に言えば、もう人の力を超えている気がします。しかも彼らは眠りません。そこに本当の恐怖があります。
これまでは手作業でやれる限界や、持っている知識の限界がありました。「Webアプリケーションには詳しいが、他の領域は知らない。だから狙うにしてもこのテストが限界」といった具合です。今は（AIを使う攻撃者が）専門家集団レベルに達していると思います。質も量もスピードも、現実に変わってきています。
――「攻撃が個人的に高度化している」という説明には、誇張も混じっているのではないでしょうか。
清水氏：ここに関しては、誇張はほぼないと思っています。ハッキング技術を競う競技「キャプチャー・ザ・フラッグ」（CTF）や、脆弱性を見つけて報告する件数が爆発的に増えているのを見るに、もう（人の手の限界を超えた）量に達しました。攻撃側が優勢です。
もう一つが日本語です。「この文章はおかしくないか」と見破ることができた日本特有のバリアが崩れ、質もスピードも上がっています。今後はAI音声を使った詐欺電話が来るようになり、件数はもっと増えるでしょう。
守る側のやるべきことは変わらない
――守る側のやるべきことは変わりますか。
清水氏：大きくは変わりません。守るべきものが何か。自分たちのWebサイトがあるなら、どんなサイトを持っているかを把握し、定期的にしっかり診断し切る。どんな攻撃がいつ来ても大丈夫な状態を作る。この一歩目一番地をやり切るしかありません。
サッカーで例えると、攻撃側にリオネル・メッシやクリスティアーノ・ロナウドのような、ボールを渡せば頻繁に点を取ってしまうストライカーがいるとします。われわれがやるのはキーパーとディフェンダーです。すごい選手が1人いても、周りで固めて抑えれば大丈夫です。攻めは「点」で来ますが、守りは「面」で、細大漏らさずやり切る。攻め手がどれほどの知識や経験を持っても、穴がない状態さえ作っておけば守り切れます。
――「中小企業は狙われにくい」と言われてきました。実際はどうでしょう。
清水氏：そもそも本当に狙われにくかったのか、個人的には疑問があります。大企業、特に上場企業は公表しなければいけないし、体制もあるので公表します。中小企業には、公表しないまま終わるケースもあると思っています。
攻撃者は二極化しています。特定の会社を定め、グループ会社や取引先まで含めて攻めるサプライチェーン攻撃では、中小企業が単体で最初の標的に選ばれることは少ないと思います。ですがもう一つ、IPアドレスを自動探索して、穴があればそこから入ってやろうという攻撃者がいます。こちらは大企業も中小企業も変わらずやって来ます。
開発現場に潜む新たなリスク
――AIを組み込んだシステムに、従来のWeb脆弱性診断の手法はどこまで通じますか。
清水氏：AIが何かを考えて結果を出す、そのエンジンそのものの問題は診断の範囲から外れます。それ以外の、AIへの入力に関わるプロンプトインジェクション（不正な指示文を紛れ込ませてAIを誤作動させる攻撃）への対策や、出てきたアウトプットが攻撃的なものでも受け取らないようにする対策は変わりません。十分通じますし、逆に言えば重要性は増します。
これまでは「内部の通信だから、外部の攻撃面にさらされていないから、やらなくてもいいか」で済んでいました。今はAIが中で勝手にいろいろなものを生成し、いろいろな通信をする可能性があるので、そこも調べておかなければいけません。見るべき範囲が広がりました。
――開発現場で「これはリスクが高い」と感じる典型的なパターンはありますか。
清水氏：AIを使った開発です。皆さん「AIで開発が速くなった」と誇らしげですが、それが本当に安全なのかという疑問を、外から見ていて感じています。ツールに慣れてくると、文章や音声を入れるだけでなく、自分でプログラムを書かせられるようになります。ただソースコードまでは読めないから、自動で任せてしまう。そうすると一番怖いのは、勝手にWebサーバが立ち上がったり、勝手に外部通信が始まったりすることです。そこが最も怖いのです。
Macの場合、「動いていい」と承認された証明書を持つアプリケーションは、ユーザーの許可がなくても（通信のために）ポートを開けられます。AIコーディングツールはこの証明書を持っているので開いてしまいます。しかも自動モードがあります。プライベートの開発環境でWebサーバが立ち上がっていて、AIコーディングをしていた本人は知らなかった、ということが実際に起こっています。
開発をしながらノートPCを外に持ち出し、リモートワークをする時代です。自宅のWi-Fiに本当に外から入れないか。カフェのフリーWi-Fiで、外からアクセスできるWebサーバが立っていないか。結構な大事が半年以内に起こるのでは、という話を社内でしていました。シャドーAIの話と重なって、大きくクローズアップされるでしょう。
AIを使った開発が進めば、画面のないAPIを現場がどんどん公開していきます。会社のセキュリティチームから見えないAPIが増え、アタックサーフェス（攻撃面）の把握と管理は難しくなっていくと思います。
後半では、守る側のAI活用と、AI時代に人間に残る役割を清水氏に聞く。
