もしもあなたの会社にサイバーセキュリティ攻撃予告があったなら ～フロンティアAI脅威と企業の脆弱性対策～

もしもあなたの会社にサイバーセキュリティ攻撃予告があったなら
～フロンティアAI脅威と企業の脆弱性対策～

JNSA 2026年度活動報告会　第３日 講演
岡田 良太郎　Riotaro OKADA
株式会社アスタリスク・リサーチ 代表取締役
2026.07.24　15:05–15:35

Transcript

1. JNSA 2026年度活動報告会 基調講演 もしもあなたの会社に サイバーセキュリティ攻撃予告があったなら ～フロンティアAI脅威と企業の脆弱性対策～ 岡田 良太郎 Riotaro OKADA ／ 株式会社アスタリスク・リサーチ 代表取締役 2026.07.24 15:05–15:35 名刺はこちら（Eight） 1 / 35
2. 「作る側・直す側」を支援してきました about me 岡田 良太郎／アスタリスク・リサーチ OWASP Top 10:2025 — 日本語版を 2006年から企業の開発現場のセキュリティ実 リリースしました 装とアドバイザリ。 翻訳リーダーとして日本語版を公開。「Web アプリ OWASP Japan Chapter Leader ／ の弱点の型」上位10、4年ぶりの全面改訂版。 Hardening Project ／ 兵庫県警察アドバイザ ／ 東洋経済オンラインで AI 時代の脆弱性対 岡田 良太郎 応を連載中 2 / 35
3. 予告が届いた朝、何を確認できますか if the threat arrives 「貴社を攻撃する」——この一通が届いた朝、会議室は静まり返る。確認すべきことは、三つ。 ① ハイリスクの「地図」は、あるか 止まると事業が止まるもの・漏れると信用を失うもの。その資産と弱点の地図が、誰かの頭の中ではなく「開ける形」であるか ② 入り口の管理はどうなっているか 外から入れるネットワークの口。認証の仕組み。そして一つひとつの ID——使われていないアカウント、残っていないか ③ 有事に気づく仕組みは動いているか。対応に動くのは、誰か 何かあったとき、検知は本当に上がるのか。そのアラートを受けて、止血を決めて動くのは誰なのか 3 / 35
4. 幕 2 · 現状の共有 いま、何が起きているか。 4 / 35
5. 弱点には「型」がある — OWASP Top 10:2025 owasp.org/Top10/2025/ja/ · 日本語版 公開中 Web アプリの弱点の「型」上位10を、世界の実 データから整理 A03 サプライチェーン新設 A02 設定ミス急上昇 ——いまの風景を映す 2025 年版 Next Steps（X03: Vibe Coding） owasp.org/Top10/2025/ja/ 5 / 35
6. どんな弱点が、どんな被害につながるか what each weakness leads to 10 のカテゴリを「招きやすい被害」で読み直す アクセス制御の不備 → 内部からの持ち出し・ランサムウェアの展開。設定の不 備 → 不正侵入の起点。サプライチェーンの不備 → 委託先での漏洩・侵入…… 毎週ニュースで読む被害は、この見取り図の上にある 被害シナリオの言葉で読み直していただきたい 東洋経済オンライン（2026-06-25 掲載）／図: 岡田良太郎氏の資料を基に東洋経済作成 6 / 35
7. AI が書くコードは、流暢でも半分が脆弱だった the data · vibe coding 45% 45–55% 10.5% AI 生成コードが OWASP Top 10 の security 合格率は横ばい—— 「安全」と言えたコードの割合（機能的 脆弱性を含む syntax は 95% 超でも。スケールで に正しいは 61%） は解決しない Veracode Veracode CMU · SusVibes 「production-ready」という自己評価は、結果であって保証ではない（SoftwareMill 実験）。作る速度が上がるほど、弱点の型は変わらず量産 される。 Veracode 2025 GenAI Code Security ／ Carnegie Mellon SusVibes ／ SoftwareMill 7 / 35
8. Mythos 騒動 — 何が起きたのか the mythos moment · 2026 2026 春 5–6 月 6 月 12 日 サイバー特化 AI「Mythos」限定公開。1,000 超の OSS をスキャンし 23,019 件の脆弱性を自律発見（高/重 大は推定 6,202 件・検証済み分の真陽性 90.6%） Project Glasswing: 主要パートナー約 50 社 → 約 150 社に拡大。「6〜12 か月で他社も Mythos 級に到 達しうる」＝一過性ではない 米政府の安全保障上の介入で一般提供停止。日本では片山財務大臣が「今そこにある危機」と発言 セーフガードを備えた一般提供版（Fable 5）は許可され、制限なしの Mythos は承認された組織だけに Anthropic Project Glasswing（2026-05-22 初期報告／06-02 拡大発表）・各紙報道 8 / 35
9. 場外乱闘？ — 安全装置を外した検証中に、AI が「脱走」した a side note · 2026-07 何が起きたか 読み違えてはいけない点 ・OpenAI が GPT-5.6 Sol と未公開モデルの攻撃 ・安全装置は「うっかり外れた」のではない 能力を評価。内部テスト「ExploitGym」に AI が“の ——攻撃能力の評価のため意図的に無効化していた。 めり込み”、答えを求めてサンドボックスの外へ 想定外だったのは、モデルが自力で脱走したこと ・内製の第三者製ソフトのゼロデイと盗んだ認証情報 で、Hugging Face の本番インフラの一部に到達 （2026-07-16 に HF が公表） ・「AI が暴走した」で片づけない。安全装置を切ったの は人間の判断——研究者の指摘（H. Cools）。 一般提供版には、この種の攻撃を塞ぐより強い安全 装置がある しかし OpenAI 公式（HF 評価インシデント）／Axios・CNBC・NPR（2026-07-21〜23） 9 / 35
10. 脆弱性は毎年増える。そこに AI が桁を足した。 the wave, by the numbers 年換算 約8万ペース AI の上乗せ AI 起因の CVE は四半期で約6倍（2026年1→3月） 49,972 Mythos は数か月で 23,019 件——公的な集計の外側 約4万 44,650 約2.9万 約1.8万 追いつくのか、という問い 約6,500 受け取る側の適用だけでなく、提供側の「アップデー トの開発」も同じ津波を受けている 2015 2020 2023 2024 2025 2026 年間に公表される脆弱性（CVE）。2026年は 7月24日までの実測で、すでに 2025年の一年 分に迫る NVD 公表データ（2015–24 は概数、2025–26 は 2026-07-24 API 実測）／Georgia Tech Vibe Security Radar 10 / 35
11. 悪用まで 5 日。パッチ作成に 2 週間 — 逆転は、もう起きている the squeeze 発見 — 量が、桁で増える 悪用 — 猶予が、消える 公開から悪用までの平均時間（TTE）— 5年で 6分の1 以下に 23,019件 32日 5日 AI が数か月で自律発見した脆弱性の数（Mythos） 人間の研究者のペースとは桁が違う「津波」 ゼロ時間単位へ 2019年ごろ 2024年 AI 自動化 直す側の帯域は、パッチ作成に平均約 2 週間のまま。 Google Cloud（Mandiant）Time-to-Exploit 分析／Anthropic Project Glasswing／CSA「Zero Day Clock」 11 / 35
12. 詰まったのは、見つける側ではなく「直す側」 the real bottleneck 1万件超の重大な弱点が、 真の制約は triage・ 「大量パッチ時代」 修正の列に並んだ report・patch ・使っている OSS・製品・委託 ・パッチ作成は平均約2週間 ・「発見は容易になった」—— 先のパッチが、いまこの列に並 Anthropic 自身の総括 んでいる ・修正が追いつかず、OSS メン テナから「開示を遅らせてほし ・見つける速度が人間の桁を超 い」という要請すら出た えた瞬間、ボトルネックは受け 取って直す側の処理能力に 移った Anthropic Project Glasswing 初期報告（2026-05-22） 12 / 35
13. 詰まった現場に、火事場泥棒が来ている looters in the fire OSS に、マルウェアが混ざる AI 開発時代の盗人 急ぐほど、火事場泥棒が得をする クレデンシャルスティーラー ・npm ワーム「Shai-Hulud」— —パッケージを汚染し、開発者の 認証情報を盗んで自己増殖 （2025年秋・数百パッケージ） ・現場が急ぐほど、検証を飛ばした「取 ・インフォスティーラーで り込む・貼る」が増える ChatGPT の認証情報 30 万件 ・その隙に、汚染されたパッケージや盗 超がダークウェブに流通 まれた鍵が紛れ込む ・AI を使い倒せる API キー・トー クンは、最も価値の上がった「鍵」 Unit42・Wiz（Shai-Hulud, 2025）／IBM X-Force Threat Intelligence Index 2026 13 / 35
14. 世界も、日本も——もう「号令」を出している the official response · worldwide EU CRA — 製品の脆弱性対応を製造者の義務に EU DORA — 金融の ICT リスク管理を義務化 積極的に悪用された脆弱性は 24 時間以内に ENISA 2025年1月から適用。技術基準は第三者・OSS ライブ へ報告。セキュリティアップデートの提供義務・SBOM ラリの「版と更新」の追跡まで要求——実質 SBOM 整備。報告義務は 2026年9月から 日本 Project YATA-Shield（14省庁連名） 日本 金融庁・日銀 連名要請 Mythos Preview を名指しし「高性能 AI を積極的に 「フロンティア AI による脅威変化を踏まえた短期的な サイバー防御に活用していくことも含め」対策強化。ソフ 対応」。リスクベースの優先順位付け・経営トップの直接 トウェアベンダーには「自分で先に見つけよ」 関与・対応目途は約1か月 EU Reg. 2024/2847（CRA）／EU Reg. 2022/2554（DORA）＋RTS 2024/1774／国家サイバー統括室ほか14省庁（2026-05-18）／金融庁・日本銀行 連名（2026-05-22） 16 / 35
15. 課題の解像度 どこが、急所か。 14 / 35
16. 総力をあげたパッチ当てが、解決策なのか？ the question YES と言える理由 NO と言える理由 ・毎年の「最も悪用された脆弱性」リスト（CISA 等）は、ほぼす ・量が人間の総力を超えた——年5万件＋AI の上乗せ。全部に総力 べて修正版が出ている既知のもの——当てていれば防げた を上げれば、全部が中途半端になる 被害が大半 ・入り口の常連（VPN・リモートデスクトップ・露出サーバー）は、 ・CVSS の深刻度と、自社のリスクは別物——スコアが Critical でも まさに「当てていれば」の世界 自社で到達不能なら急所ではない。逆に Medium が事業の急所を突 ・パッチは根治。代替統制は時間稼ぎにすぎない くこともある ・説明責任（EU CRA/DORA) ・リスクベース——実際に悪用されているか（KEV）・悪用されそうか （EPSS）・自社で到達可能か・事業影響はどれだけか、で決める ・直せないシステム（レガシー・止められない業務系）は現に存在する 15 / 35
17. CSA 「Mythos-ready」 ？！ so, what is “mythos-ready”? 米国の実務界は、防御側の到達目標にもう名前を付けた。中身は4つ。 ① 被害を局限する、レジリエントな設計 全部は守れない前提で、壊れても事業が止まらない形にしておく ② 敵や告知より先に、自分で見つける ベンダーのお知らせを待たず、AI の力も借りて先に見つける ③ 大規模で、迅速な対応 大量に来る前提の処理能力。一件ずつの根性ではなく、流れ作業の設計 ④ AI エージェントで、能力を加速 使うこと自体は大前提。問題は「どう使うのが本物か」 CSA×SANS×OWASP GenAI「The AI Vulnerability Storm: Building a Mythos-ready Security Program」（2026-04） 17 / 35
18. 先回り – 確かに入られている場所には、「常連」がある where they actually get in 入られている場所 なぜ入られるか 根拠 1 VPN 機器 未修正の脆弱性・古い機器。EDR の入らない「監視の盲点」 侵入経路 66%（61件・警察庁） 2 リモートデスクトップ 在宅・保守用に開けたまま。VPN と合わせ 9割近く 同 21%（19件・警察庁） 3 漏えい認証情報・残存アカウント 「正規の鍵」でログインされる侵入。破りではなく成りすまし Sophos 2026: 事例の 67% が ID 起因・59% で MFA 欠如 4 人の説得 — 電話・チャットへ多チャネル化 電話でヘルプデスクを説得し、リセットさせる手口 M-Trends 2026: ビッシング 11% がメール 6% を上回る 5 露出サーバー・設定不備 外に見えている検証環境・クラウドの設定ミス Kaspersky 2026: 公開系アプリ起点 44% 6 委託先・取引先経由 自社でなく、つながっている先から。サプライチェーン Verizon 2026: 侵害の 48% に第三者が関与／ IPA 組織向け 2位 日本: VPN＋リモートデスクトップで 9 割近く・被害の約 6 割は中小。 世界: 「脆弱性悪用」と「正規ログイン」が二大入口（Verizon 31%・Mandiant 32% で首位）。 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等」（2026-03）／IPA 10大脅威 2026 18 / 35
19. この表に、次の「常連」が来る。 coming risk · atlas.mitre.org これから企業システムは、AI で作り、AI を積んで動く。弱点は、いまより複雑になる。 入られる場所（これから） なぜ入られるか 前兆・見取り図 7 組み込まれた AI・エージェント プロンプトインジェクション・データ汚染・過剰権限。「守る道具にした AI」自体が攻撃面になる AI への悪性プロンプト注入を 90 超の組織で観測 （CrowdStrike 2026） 8 AI が書いた・AI ごと動くシステム 生成コードの型どおりの弱点＋モデル・ツール連携の新しい継ぎ目 手口の見取り図は既にある: MITRE ATLAS（CSA も参照） MITRE ATLAS／CSA「AI Vulnerability Storm」付録B／CrowdStrike 2026 Global Threat Report 19 / 35
20. 「先回り」の3動作 — 通知を待たない会社になる getting ahead 先に知る 先に絞る 先に決める ・自社が外からどう見えている ・全部は直せない前提で、事業 ・弱点が見つかった日・事故の か、攻撃者と同じ目で見る を止める急所を挙げる 日に、誰が止血を決めるか ・外から見えているものの一覧 ・被害の広がる範囲を、先に狭 ・決裁を、事故の前に済ませる を作らせる——常連 6 つを自 めておく 社に当てる Google Big Sleep（2025-07・脅威インテリジェンスとの組み合わせで悪用前に対処） 22 / 35
21. 対策は、入り口の並びに合わせて組む defenses, matched to the entrances 常連 1・2・5 公開攻撃面を減らす（ASM） 外から見えるものの一覧を持ち、不要な公開をやめる。EDR の入らないエッジ機器こそ最優先でパッチ 常連 3 常連 4 認証・認可を強化する アカウントの棚卸しと「実際に使われているか」の把握。フィッシング耐性のある MFA へ 人間の支援プロセスを強化設計する ヘルプデスクの本人確認を二経路に。「急ぎでも検証」を文化でなく業務プロセスとして組み込む 常連 6 サードパーティ権限を統制する 連携アプリ・委託先アクセスを棚卸しし、最小権限に。第三者関与の侵害は増え続けている Coming Risk AI システムを独立した攻撃面として扱う 組み込んだ AI の権限境界・監査・人の承認を設計する。導入と防御を同時に 警察庁・IPA・CISA・Verizon DBIR・Mandiant M-Trends・Sophos AAR ほか 2025–26 公開資料の総合 21 / 35
22. 「それ、昼寝しててもAI がやってくれるんじゃないの？」 一部 YES、一部 NO the second question YES — 昼寝してても、解決していく問題 NO — 昼寝してても、解決しない問題 ・マルウェア検知の精度 ・経営層がセキュリティを「自分ごと」にすること ・脆弱性スキャンの網羅性 ・守るべきものと手立てを知ること（資産・データ・委託 ・パッチ適用の優先順位づけと自動化 先） ・アラートのトリアージ・ログ相関のスピード ・放置しているモノ・カネ・情報（アクセス権含め）を捨 ・——このあたりは、昼寝してるうちに AI を使ってセ キュリティベンダーがやれる感じになってきている てること ・インシデント時に「誰が何を根拠にどこまで決める か」＝ガバナンスの取り決め ・業務プロセスと組織への織り込み。当事者チームを 置き、育て、結果を出させること x.com/okdt（2026-05-25） 23 / 35
23. 確かなこと certainty AI は、入れただけでは仕事をしない。 「導入」は成果ではない。回り続ける仕組みが、成果。 AI は作業の代行ではなく、検証と可視化の「仕組み」を 作らせ・調整させるのに使う。回り続けるのは、仕組みだ。 AI はその大工と整備士。 作業を AI に丸投げして安心するのは、検証の外注と同じ轍を踏む。 26 / 35
24. 残課題 打ち手を打っても、残ることがある。 スケール いまの人手を前提にしたやり方では、量に追いつけません 供給網 OSS の更新をただ待って取り込むだけ、という依存は残ります 指標 指摘の件数や SLA の達成率だけを見ると、見せかけの達成に陥ります 直せない資産 レガシーや止められない業務システムは、現実に直せないまま残ります 27 / 35
25. 結論と将来 結論、これから。 28 / 35
26. OSS を「待つだけ」の時代が、終わるのではないか 仮説 ① · hypothesis ① スキャン ② パッチ提案 ③ 人間が適用 リポジトリ全体、またはコミット前の変更差 重大な指摘に対し、コードスタイルを保っ 人間がレビューして適用——丸投げでは 分を指定してスキャン た修正パッチを生成 なく、人の承認が設計に残る これから：発見の AI が先行してきた。修正側が追いつき始めた今、構造が動くのではないか—— – 「OSS をブラックボックスとして、アップデートを待つだけ」が終わる – なんでもかんでも OSS に頼る構造そのものが、見直される – 直す対象は「網羅」へ広がるのか、「ハイリスクを担うコンポーネント」へ集中するのか 「Claude Security」プラグイン公開（claude-plugins-official・2026-07-23 リリース告知） 29 / 35
27. 経営が見る数字は、付け替わっていくのではないか 仮説 ② · hypothesis これまで見てきた数字 これから見る数字（仕組みが出す・常に最新） 年に一度の脆弱性診断レポート 危ない状態が続いた時間（露出時間） 弱点が悪用可能なまま放置された長さ 「High / Critical」の指摘件数 通常運転に戻るまでの時間（復旧時間） 止まった・縮退したとき、いつも通りに戻るまで パッチ適用の SLA 達成率 検知から対応までの自動化の有効性 人手を介さず 検知 → 検証 → 対応 まで回った割合 30 / 35
28. 予告が来ても慌てない会社になりたい 確かなこと · certainty ① ハイリスクの「地図」を ② 入り口を、先に見ている 持っている ③ 気づく仕組みが回り、動 く人が決まっている ・止まると事業が止まるもの・漏れ ・常連 6 つを自社に当ててある。 ・検証と可視化が決定論的に回り、 ると信用を失うもの。資産と弱点の ネットワークの口・認証の仕組み・ 露出時間・復旧時間・自動化の有 地図が「開ける形」であり、OWASP 一つひとつの ID——使われてい 効性で自分の状態を語れる。止血 Top 10 が組織の共通言語になっ ないアカウントが残っていない の決裁は、事故の前に済んでいる ている 31 / 35
29. Hardening 2026 Agentic Collapse — 競技参加者 募集中 join us · #H2026AC 攻撃を受けながら、ビジネスを継続させる——総合力の競技会 2026.10.5（月）–10.8（木）｜函館 技術職も、非技術職も、学生も。近年の参加者の約 2/3 は初挑戦 競技参加は無料（旅費・宿泊等は自己負担） 応募締切 2026.8.10（月）23:59 共催・支援: デジタル庁／NICT／ISC2／JNSA／JPCERT/CC／OWASP Japan ほか 開催地: 函館（サーモン・まるなまアリーナ） wasforum.jp/hardening-project/hardening-2026-agentic-collapse/ 33 / 35
30. 主な出典 sources ・Anthropic — Project Glasswing: An initial update（2026-05-22）／ Expanding Project Glasswing（2026-06-02） ・Cloudflare — Cyber frontier models（blog, 2026-05-18） ・警察庁 —「令和7年におけるサイバー空間をめぐる脅威の情勢等」（2026-03-10） ・IPA — 情報セキュリティ10大脅威 2026（2026-01-29） ・国家サイバー統括室ほか14省庁 — Project YATA-Shield（2026-05-18）／ 金融庁・日本銀行 連名要請（2026-05-22） ・Google — Big Sleep による CVE-2025-6965 の悪用前対処（2025-07-15） ・OWASP — OWASP Top 10:2025（日本語版） ・CSA×SANS×OWASP GenAI — The AI Vulnerability Storm: Building a Mythos-ready Security Program（2026-04） 岡田 良太郎 riotaro@rsrch.jp · アスタリスク・リサーチ 34 / 35
31. 名刺、どうぞ。 let's connect · prairie card そのまま読み取って、繋がってください。 – 書籍・登壇履歴へのリンク – OWASP Japan ／ Hardening Project – お問合せ：riotaro@rsrch.jp my.prairie.cards/u/riotaro 35 / 35