フロンティアAIによる攻撃にどう対処すべきか──GMO Flatt Security 米内氏が読み解く「Mythos以降のAIセキュリティ」

AIが担う仕事は「バグ修正」から「本番運用」へ

　GMO Flatt Securityは、「HackerOne」（脆弱性報告プラットフォーム）上でAnthropicに最も多く脆弱性を報告している企業とされる。防衛省サイバーコンテストで3連覇、Ubuntuへの脆弱性報告による報奨金は3万ドル。攻守両面を手掛けるサイバーセキュリティ専業企業だ。扱うのは「AI for Security」、すなわちセキュリティ業務へのAI活用の論点で、AIモデル自体のリスク（Security for AI）とは切り分けて考える。

　AIモデルの進化を、米内氏は「遂行可能なゴールの抽象度が高まった」と表現する。

　2025年2月のSonnet 3.7では、「このバグを修正したコードを出して」という具体的な指示がなければセキュリティのタスクはこなせなかった。それが2026年のOpus 4.8を経て、「本番環境の監視やメンテナンスを任せる」といった抽象的なゴールでも自律的に走れる水準へ近づいた。Mythos 5／Fable 5は、その延長線上にある。

　能力の向上は数字にも表れている。同社の脆弱性発見AIエージェント「Takumi」は2025年3月にゼロデイ脆弱性の発見を実用化。同年6月には別サービス「XBOW」が、バグバウンティ（脆弱性報告への報奨金制度）のランキングで人間を抜いて1位を獲得した。「脆弱性を見つける能力自体は、1年前の時点で既に一定のラインに達していた」と米内氏は振り返る。

　攻撃側の実態も変わりつつある。Google Threat Intelligence Group（GTIG）によれば、脆弱性の発覚から悪用開始まで2018年頃は平均63日を要したが、近年は公開前のゼロデイ段階で悪用が始まる事例が目立つ。中国・北朝鮮系とみられる脅威アクターがAIで発見や悪用を進める兆候も報告されている。

人手を離れる攻撃──自律型AIはこうして企業に侵入する

　自律型のAIエージェントによる攻撃は、具体的にどう進むのか。

　典型的な企業システムを思い浮かべてほしい。外部公開のECサイトの裏に、本来は直接触れないはずの社内管理画面、データベース、社内Wikiがぶら下がる。ここで攻撃AIに与える指示は、「このサービスを止めてほしい」という一言で足りる。

　あとはエージェントが動く。公開されたECサイトに不審な文字列を入力してエラー挙動を観察し、サーバーへ直接リクエストを重ねて脆弱性を絞り込む。攻撃コードの生成・実行も自ら行い、うまくいけばサーバーのルート権限相当まで到達する。データベース侵入後は、得た管理者の認証情報が他システムで使い回されていないかを確かめ、横展開（ラテラルムーブメント）していく。一つの入口から連鎖的に内部へ食い込み、最終的にサービス停止まで至りうる。

　この一連の工程を、人間がほとんど張り付かずに進められる。ここが大きな変化だ。

　「元々は攻撃を指揮する人間が張り付いて、次はこれ、次はあのツールと逐一指示しなければならなかった」と米内氏は言う。それが「放っておいても攻撃活動が進む」水準に近づいた。攻撃者は相手を選ばずに済み、守る側はあらゆる資産を入口として想定しなければならない。この非対称性が、AIの自律性向上で一段と深刻になっている。