生成AI悪用にどう備えるか？攻撃工程の9割をAIが実行する時代の対策

2025年9月、サイバー攻撃の戦術的な工程の80〜90％を、人間ではなくAIが自律的に実行するという事例が初めて記録されました。

Anthropicが2025年11月に公表した報告によれば、標的となったのは約30の組織に及びました。攻撃では、AIが毎秒複数回のペースで数千回もの操作を繰り返し、人間が担った作業は全体の10〜20％にとどまったとされています。

生成AIは、これまで一部の専門家しか扱えなかった知識やスキルを、誰もが利用できる形で提供する技術です。しかし、その技術は利用者を選びません。もし悪意を持った人物が生成AIを本格的に悪用するようになれば、サイバー攻撃はどのように変わっていくのでしょうか。

特に懸念されるのが、十分な対策を取る余力のない自治体や中小企業です。生成AIの導入率が29.9％にとどまる市区町村や、セキュリティ対策に十分な投資ができていない中小企業が約7割を占める現状では、AIを活用した攻撃への備えは待ったなしです。

本稿では、生成AIによってサイバー攻撃がどのように変化し始めているのかを整理するとともに、企業や自治体が今、何を優先して取り組むべきなのかを解説します。

いま何が起きているか　AIは「助言役」から「実行役」に変わった

生成AIの悪用は、すでに「AIに攻撃の方法を聞く」という段階を超えています。

2025年に公表された複数の一次資料からは、AIが攻撃の計画や標的の偵察、システムへの侵入、データの持ち出しまで、一連の作業を自動的に進める事例が確認されています。人間が行うのは、AIに大まかな方針を指示し、その結果を確認・承認するだけというケースも出てきています。

つまり、これまで人間が担っていた攻撃作業の大部分を、AIが代わりに実行する時代が始まっています。そして、AIによって攻撃にかかる時間やコストが下がれば、これまで「手間がかかるから狙わない」と考えられていた中小企業や自治体なども、攻撃の対象になり得ます。

攻撃工程の8〜9割をAIが自律実行した最初の記録

Anthropicが2025年11月に公表した報告書では、生成AIを悪用してサイバー攻撃を行った攻撃グループの活動が分析されています。Anthropicは2025年9月中旬にこの攻撃を検知し、その後約10日間にわたって詳しく調査しました。

この攻撃グループは、Anthropicによって「GTG-1002」と名付けられています。標的となったのは、大手IT企業や政府機関など約30の組織で、そのうち一部では実際にシステムへの侵入が確認されています。

この事例が注目されたのは、被害規模ではなく実行の構造です。報告書は、攻撃側がAIエージェントに対して戦術的な作戦の80〜90％を独立して実行させていたと記述しています。人間のオペレーターが担ったのは労力全体の10〜20％で、内容は攻撃対象の選定と重要な局面での承認に限られていました。記録されたリクエストは数千件にのぼり、毎秒複数回のペースで処理されています。人間のチームでは物理的に不可能な速度です。

技術を持たない者が攻撃者になれる市場ができている

もう一つ大きな変化があります。それは、サイバー攻撃に必要な道具や仕組みが、誰でも購入できる「商品」になり始めていることです。

Anthropicが2025年8月に公表した脅威インテリジェンスレポートでは、生成AIを使ってサイバー攻撃を自動化した事例が紹介されています。政府機関や医療機関など、少なくとも17の組織が標的となり、攻撃後に要求された身代金は7万5,000ドルから50万ドルに及びました。

この攻撃では、標的を調べることから、パスワードなどの認証情報を盗むこと、侵入したシステムから別のシステムへ攻撃を広げること、機密データを外部に持ち出すことまで、さまざまな作業をAIが自動的に進めていました。

さらに同じレポートでは、英国を拠点とする人物が、専門的なプログラミング知識がなくても利用できる形で、ランサムウェアを販売していた事例も紹介されています。

価格は、攻撃用のプログラムが400ドル、セキュリティソフトに見つかりにくくする機能を備えたものでも1,200ドルでした。

つまり、これまでサイバー攻撃には高度な技術や専門知識が必要でしたが、現在では「攻撃に必要な道具を買い、AIに作業を任せる」ことが可能になりつつあります。

攻撃に必要だった専門知識という「参入障壁」が下がり、サイバー攻撃そのものが、誰でも利用できるサービスへと変わり始めているのです。

日本の被害統計は、すでに悪い方向へ動いている

国内の数字を見ると、この変化は他人事ではありません。警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によれば、令和7年（2025年）のランサムウェア被害の報告件数は226件で、高水準が続いています。被害を受けた企業・団体のうち、約6割が中小企業です。業種では製造業が約4割を占めました。

復旧の負担も重くなっています。同資料では、復旧に総額1,000万円以上を要した組織が全体の5割を超え、1か月未満で復旧できた組織は5割強にとどまりました。被害に遭った組織の半数近くが、1か月以上にわたって業務の一部または全部を止めていることになります。

入口となる手口も増え続けています。同資料では、令和7年のフィッシング報告件数は245万4,297件、インターネットバンキングの不正送金は4,747件・被害総額約103億9,700万円で、その手口の約9割がフィッシングでした。

生成AIによって、日本語として自然な文面を大量に作ることは容易になっています。「日本語が不自然だから偽物だとわかる」という判別方法は、すでに機能しません。

IPAが「AIの利用をめぐるサイバーリスク」を初選出で3位に置いた

公的機関の認識も変わりました。IPAが2026年1月29日に発表した「情報セキュリティ10大脅威 2026」の組織向け順位は、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃です。そして3位に「AIの利用をめぐるサイバーリスク」が入りました。この項目は今回が初選出です。

ここでいうAIリスクは、攻撃にAIが使われることだけを指しません。自組織が業務で使っている生成AIが、情報漏えいや誤った出力の経路になるリスクも含まれます。

10大脅威の1位・2位・3位は独立した話ではなく、AIによって同時に強化される関係にあります。

なぜAIはこの速度で進化しているのか

悪用が急に現実味を帯びた理由は、AIの能力が「単発の質問に答える」段階から「長い作業を最後までやり切る」段階へ移ったことにあります。そして、この移行を後押ししているのが、AI自身をAIで改良するという仕組みです。

AIが一人でやり切れる作業時間は、約7か月で倍増している

能力の伸びを測る指標として広く参照されているのが、AI評価機関METRの「時間地平線（time horizon）」の研究です。人間なら何分・何時間かかる作業をAIが50％の成功率で完遂できるか、という尺度で能力を測ります。2025年3月時点の推定では、この時間地平線は約7か月で倍増するペースで伸びていました。

ペースはその後さらに上がっています。同機関が2026年1月29日に公表した「Time Horizon 1.1」では、評価タスクを170から228に拡張したうえで倍増ペースを再推定しました。2023年以降に限れば約130日、2024年以降に限れば約89日という結果でした。3か月前後で倍増している計算です。

サイバー攻撃は、偵察から侵入、横展開、持ち出しまで数日から数週間にわたる連続作業です。AIが単独でやり切れる時間が伸びることは、攻撃工程のうちAIに任せられる範囲が広がることを意味します。去年は人手が必要だった工程が、今年は不要になります。

RSIとは、AIがAI自身の改良に使われる循環のことです

RSI（Recursive Self-Improvement、再帰的自己改善）とは、AIが自分自身やその開発工程を改良し、改良されたAIがさらに次の改良を行う循環のことです。完全な自律的自己改良は実現していませんが、開発工程の一部がすでにAIに置き換わっていることは公表事例で確認できます。

Google DeepMindが2025年5月に公表したAlphaEvolveが代表例です。同社の発表によれば、AlphaEvolveはGoogleのデータセンターにおけるタスクのスケジューリング手法を発見しました。これによりグローバルなコンピューティングリソースの平均0.7％が継続的に回復しています。さらにGeminiの重要なカーネルを23％高速化して学習時間を1％短縮し、次世代TPUの算術回路の効率化にも貢献しました。

1％という数字は小さく見えますが、意味しているのは、AIの学習コストをAIが下げ、下がったコストで次のAIをより速く学習させられるという関係です。この循環が回り始めた領域では、能力の伸びは人間の研究者の増員ペースに縛られなくなります。防御側が人手で追いつくことを前提にした対策の賞味期限は、その分だけ短くなります。

日本の中小企業と自治体は、いまどの位置にいるか

日本の中小企業と自治体は、「使う側の格差」と「守る側の空白」という二つの問題を同時に抱えています。そして両者は独立していません。使えていない組織ほど守れていない、という相関があります。

使う側の格差は、自治体の規模でそのまま現れている

総務省の調査（令和6年12月31日時点）によれば、生成AIを導入済みの割合は都道府県が87.2％、指定都市が90.0％である一方、その他の市区町村は29.9％にとどまります。「導入予定なし」と回答した市区町村は48.9％、842団体にのぼりました。日本総研が2026年1月に公表した分析では、生成AI導入率は町が14.9％、村が7.1％です。

AI全般でも同じ構図です。同分析によれば自治体のAI導入率は2018年末の5.8％から2024年末に59.2％まで上がりましたが、内訳は都道府県と政令指定都市が100％に対し、町38.4％、村10.9％でした。

企業側も同様です。中小企業基盤整備機構が2026年3月に公表した「中小企業のAI等の利活用に係る実態調査」では、AIの導入率は20.4％、検討中を含めても39.0％でした。2025年11月から12月の調査で、有効回答は1,668社です。一方、総務省の令和8年版情報通信白書では、日本で自社の何らかの業務に生成AIを利用している企業は86.4％（前年度55.2％）とされています。調査対象の規模による差が、そのまま数字に表れています。

守る側の空白は、投資額に現れている

IPAが2025年5月に公表した「2024年度 中小企業における情報セキュリティ対策に関する実態調査」を見ます。情報セキュリティ対策への投資について「投資していない」または「わからない」と答えた企業は約7割でした。アンケート調査は2024年10月から11月にかけて実施され、有効回答は4,191件です。被害の実態としては、2023年度にコンピュータウイルス感染を経験した企業が14.8％、不正アクセスの影響を受けた企業が10.0％でした。

「わからない」という回答が相当数含まれている点が重要です。投資額を把握している担当者が社内にいないことを意味します。ランサムウェア被害の約6割が中小企業という警察庁の数字と重ねると、被害の集中と体制の空白が同じ層で起きています。攻撃側がAIで試行回数を増やしたとき、最初に影響を受けるのはこの層です。

最も広い入口は、自社ではなく取引先と委託先にある

IPAの10大脅威2026で2位に入った「サプライチェーンや委託先を狙った攻撃」は、中小企業と自治体の双方にとって最も現実的な経路です。2025年には国内でも、アサヒグループホールディングス（9月）とアスクル（10月）がランサムウェア被害を受け、受注・出荷業務が停止しました。IPAは10大脅威2026の解説書で、この2件を事例として取り上げています。

アスクルの事案は波及の範囲を示しています。同社が物流を受託していた良品計画やロフトのEC出荷まで止まりました。同社の調査報告書によれば、侵入の起点は多要素認証が適用されていなかった認証情報の窃取です。攻撃者は最も守りの堅い企業ではなく、そこにつながる最も守りの薄い入口を狙います。

ところが、前出のIPA調査によれば、発注元企業から情報セキュリティに関する要請を受けた経験がある中小企業は1割強にとどまり、その要請内容の8割は「秘密保持のための措置」でした。契約上の守秘義務は求められても、技術的な対策水準まで求められている企業は少数です。自治体でも、システム運用や窓口業務の委託先が同じ構造に置かれています。

制度は整いつつあるが、実行を強制する仕組みは弱い

制度面では2025年から2026年にかけて動きがありました。AI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律）は2025年5月28日に成立、6月4日に公布され、第3章・第4章の施行をもって2025年9月1日に全面施行されています。人工知能基本計画も2025年12月23日に閣議決定されました。ただし、この法律が事業者に課すのは努力義務と協力義務であり、罰則はありません。

自治体側では、令和6年の改正地方自治法（第244条の6第1項）により、サイバーセキュリティ確保に関する方針の策定と、それに基づく措置の実施が法律上の義務となりました。施行は2026年4月1日です。総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」も2026年3月27日に改定されました。改定では、機器の廃棄・データ消去方法の見直し、USBメモリ等の利用リスクへの対処、DNS設定情報を悪用する攻撃への対策が盛り込まれています。

評価の道具も揃ってきました。AIセーフティ・インスティテュート（AISI）は「AIセーフティに関するレッドチーミング手法ガイド」第1.10版を2025年3月31日に公表しています。総務省・経済産業省の「AI事業者ガイドライン」も2025年3月28日に第1.1版へ更新されました。問題は、これらを読み込んで自組織に適用する人員が町村規模の自治体や小規模事業者にいるかどうかです。

今後3年でこう動く

ここからは予測です。公表されたデータから合理的に導ける範囲の見立てであり、予言ではありません。それぞれについて、先行指標として何を見ればよいかを添えます。

予測1　攻撃の単価が下がり、「狙われない規模」が消える

ノーコードのランサムウェアが400米ドルで流通し、攻撃工程の8〜9割をAIが実行できる状況では、1件あたりの攻撃コストは大きく下がります。手間に見合わないため見送られていた小規模組織が、採算に乗るようになります。被害企業の約6割がすでに中小企業だという警察庁の統計は、この傾向の出発点にすぎません。先行指標は、被害報告件数のうち従業員50人未満の事業者が占める比率です。

予測2　地域単位で被害が連鎖する事例が表面化する

攻撃の入口が取引先と委託先である以上、被害は企業単体ではなく地域の産業集積や自治体の委託網に沿って広がります。特定の基幹システムを地域の複数事業者が共同利用している場合、1件の侵入が地域全体の業務停止につながります。自治体のAI共同利用が269件・208団体（2024年末時点）に達したことは効率化の成果ですが、共通の入口が増えたことも意味します。先行指標は、同一ベンダーを起点とする複数組織の同時被害が報道される頻度です。

予測3　生成AIを使う企業ほど、AI経由の情報漏えいが増える

総務省の令和8年版情報通信白書によれば、個人の生成AI利用率は58.8％（前年度26.7％）と1年で2倍以上に伸びました。勤務先が生成AIを積極的に活用する方針、または領域を限定して利用する方針だと回答した割合も68.9％（前年度49.7％）に上昇しています。一方で同白書は、日本について「組織的な取組はない」との回答が約3割弱と、他の3か国より高い水準にあると指摘しました。

利用が先行し、ルールが後追いする状態です。この差分が、社内情報を外部サービスに投入する事故として現れます。先行指標は、自組織で生成AIの利用ルールを文書化している割合と、実際に使われているツールの棚卸し結果の一致度です。

予測4　防御側もAIを前提にした運用へ移り、使わない組織との差が開く

攻撃側が毎秒複数回の速度で動く以上、人間が目視で監視する運用では追いつきません。ログの相関分析、異常検知、初動対応の一次判断は、AIに任せる方向へ移ります。ここで問題になるのが、生成AI導入率が14.9％の町、7.1％の村、セキュリティに投資していない約7割の中小企業の位置です。攻撃側だけがAIを使う状態が最も危険であり、その状態に置かれる組織が構造的に決まっています。先行指標は、自治体の共同調達や商工会議所単位でのセキュリティ運用サービスの提供件数です。

本当に優先すべきことは何か

ここまでの整理を、明日から着手できる順序に落とし込みます。予算の大小ではなく着手の順番が結果を分けます。順番を間違えると、高価な製品を入れたのに被害を止められないという事態になります。

中小企業の経営者が上げるべき優先順位

第一に、認証の強化です。多要素認証をVPN、メール、クラウドサービス、リモートデスクトップのすべてに適用してください。フィッシング報告が245万件を超え、不正送金の手口の約9割がフィッシングである以上、盗まれる前提で設計する必要があります。前述のアスクルの事案も、多要素認証が適用されていない認証情報が起点でした。判断は経営者が行い、情報システム担当や委託先に丸投げしないでください。

第二に、バックアップの分離と復旧試験です。復旧に1,000万円以上を要した組織が5割を超えているという警察庁の数字は、バックアップが暗号化されて使えなかった事例を多く含みます。ネットワークから切り離された保管先を用意し、年に一度でよいので実際に復元してみることが必要です。復元したことがないバックアップは、あると言えません。

第三に、生成AIの利用ルールの文書化です。禁止ではなく、使ってよい範囲を定めるのが目的です。顧客情報や未公開の技術情報を入力しないこと、業務で使うサービスを列挙して社内で共有すること、出力を必ず人が確認すること。この3点をA4一枚にまとめて全社員に配ることから始めてください。白書が指摘する「組織的な取組はない」約3割弱から抜けるのは、この一枚でできます。

第四に、取引先との契約におけるセキュリティ要件の確認です。発注元から要請を受けた経験がある企業は1割強にとどまりますが、要請がないことは安全を意味しません。自社が納品先の入口になった場合の責任範囲を、契約書で確認しておく必要があります。同時に、自社が発注している側についても、委託先の対策状況を年1回は確認してください。

第五に、被害が起きたときの連絡順序の明文化です。誰が最初に気づき、誰に連絡し、いつ警察・IPA・取引先に報告するかを一枚の紙にしておきます。判断に迷う時間が、被害額をそのまま増やします。IPAの「中小企業の情報セキュリティ対策ガイドライン」など公開資料を使えば、外部の手を借りながら整備できます。

自治体が優先すべき論点

第一に、委託先を含めた点検範囲の見直しです。改正地方自治法によりサイバーセキュリティ確保の方針策定が義務化され、2026年3月改定のガイドラインでリスクマネジメントの手順が具体化されました。この機会に、点検の対象を庁内システムから委託事業者・指定管理者まで広げてください。決めるのは情報政策担当ではなく、副市長級以上です。

第二に、単独整備をやめて共同利用に寄せる判断です。町の生成AI導入率14.9％、村7.1％という数字は、単独整備が現実的でないことを示しています。都道府県が主導する形で、生成AI環境とセキュリティ監視を圏域単位で共同調達する方が、人材不足の解消と防御水準の底上げを同時に達成できます。

第三に、生成AIのガイドライン整備です。日本総研の分析によれば、生成AIの利用ガイドラインを策定済みの基礎自治体は647団体で、未策定は1,004団体でした。生成AIを導入済みの自治体に限れば72.3％が策定済みですが、策定済みの割合は町53.2％、村38.1％にとどまります。導入していない団体も、職員が個人の端末で使っている可能性を前提に、先にルールを出す方が実態に合います。

第四に、住民向けのなりすまし対策です。2026年3月改定のガイドラインでは、DNS設定情報を悪用する攻撃への対策が追記されました。廃止したWebサイトのドメイン管理と、送信ドメイン認証（SPF・DKIM・DMARC）の設定は、自治体を名乗る偽サイト・偽メールを減らす直接的な手段です。生成AIによって文面と画面の精度が上がった以上、住民に見分けさせる方針は成り立ちません。

第五に、人材の確保方法の切り替えです。総務省の調査で、生成AI導入の課題の1位は「取り組むための人材がいない又は不足している」で549件でした。採用で解決する見込みは小さいため、外部人材のシェアや都道府県からの派遣、複数自治体での共同雇用を制度として設計する必要があります。

やってはいけないこと

第一に、生成AIの全面禁止です。禁止すると、職員や従業員は個人アカウントで使い始めます。組織の管理下から利用が消えるだけで、情報漏えいのリスクはむしろ上がります。使える環境を用意して範囲を限定する方が、統制は効きます。

第二に、製品導入を対策と呼ぶことです。多要素認証の未適用やバックアップの未検証を放置したまま検知製品を入れても、侵入経路は塞がりません。導入の前に、認証・バックアップ・権限管理の3点を確認してください。

第三に、被害の非公表を既定路線にすることです。取引先や住民への影響が想定される場合、公表の遅れは損害を拡大させます。公表の可否を事故後に議論するのではなく、どの条件で公表するかを平時に決めておいてください。

よくある質問

まとめ

生成AIは専門知識へのアクセスを平準化しました。その恩恵は、業務改善を目指す企業にも、攻撃を仕掛ける側にも等しく届きます。2025年に記録されたのは、攻撃工程の80〜90％をAIが自律実行した事例です。日本国内では、ランサムウェア被害226件の約6割を中小企業が占め、復旧に1,000万円以上を要した組織が5割を超えました。

一方で、生成AIを導入している市区町村は29.9％、町は14.9％、村は7.1％にとどまり、中小企業のAI導入率は20.4％、セキュリティに投資していない企業は約7割です。攻撃側だけがAIを使い、守る側が人手で対応するという非対称が、地域と規模によって固定されつつあります。これが、この記事で示したかった問題の核心です。

優先すべきことは、高価な製品の導入ではありません。企業であれば多要素認証、バックアップの分離と復旧試験、生成AI利用ルールのA4一枚。自治体であれば委託先を含めた点検範囲の見直しと、圏域単位での共同調達。いずれも今期の予算で着手できる範囲にあります。着手の順序を守れば、限られた予算でも防御水準は上がります。

AIが単独でやり切れる作業時間は、2024年以降に限れば約3か月で倍増するペースで伸びています。対策を1年先送りすることは、相手が4回強くなるまで何もしないという判断と同じ意味を持ちます。今期の優先順位表を書き換えられるかどうかが、地域の3年後を決めます。