政府、AI対策パッケージ決定　防御にもAI活用し脆弱性を先手で封じ込め

2026年5月19日

URLをコピーしました！

世界中のセキュリティ専門家が27年間見落とし続けたシステムの欠陥を、あるAIが数秒で発見した。攻撃側がこの技術を手にした瞬間、これまでの守りは機能しなくなる。政府がそう判断したのは、昨日のことだ。

政府がAI対策パッケージを決定

5月18日、内閣サイバーセキュリティセンター（NISC）を中心とした関係省庁会議が初めて開かれ、AI脅威への対応策「Project YATA-Shield（プロジェクト・ヤタ・シールド）」が正式に決定した。これは2025年に成立した「能動的サイバー防御法」——正式名称はサイバー安全保障強化法——の具体策として位置づけられる。同法は、それまで攻撃を受けてから対応する「受け身の守り」に徹してきた日本のサイバー防御に、攻撃を未然に封じる「先手の守り」を初めて法的に認めたものだ。

対策の重点は、暮らしに直結する15分野の重要インフラ——電力・ガス・金融・医療・通信など——の守りを固めることにある。政府が攻撃情報を一元的に集約・分析し、各事業者にリアルタイムで提供する情報共有の枠組みを構築する。

対策を急がせた直接の引き金は、米Anthropic（アンソロピック）社が今年発表した最新AI「Claude Mythos（クロード・ミュトス）」だ。このAIは、ソフトウェアに潜む「まだ誰も公表していない欠陥」を数千件規模で自律的に発見できる。人間の専門家なら何週間もかかる作業を、ほぼ瞬時にこなす。攻撃者の手に渡れば、今の守りでは追いつかない。

逆説的なのは、攻撃の武器になりうる同じAIが、守りの切り札にもなりうることだ。攻撃側と守備側が同じ武器を使う——どちらが先に使いこなすかが、この戦いの分かれ目になる。

なぜ今、対策が必要か

27年前の穴を数秒で発見

ハッカーが狙うのは、システムに潜む「穴（脆弱性）」だ。熟練した専門家チームが何週間もかけて探すものを、AIは数秒で見つける。そして見つけるだけでなく、「この穴から侵入するためのコード」まで自動で作れる。

証明する事例がある。世界中で使われているOS（基本ソフト）「OpenBSD」には、1999年から27年間、世界中の専門家が誰一人気づかなかった欠陥が潜んでいた。AIはそれを自律的に掘り起こし、攻撃コードの生成まで一気にこなした。ゼロデイ脆弱性——つまり「まだ誰も知らない欠陥」——を人間の限界を超えた速さで武器に変える、それがAIの本当の怖さだ。

攻撃の6割、すでにAIが担う

これは孤立した事例ではない。BCGが2025年に公表したサイバーセキュリティ動向調査によると、同年のサイバー攻撃の約60%にAIが関与していた。AI製の偽メール（フィッシングメール）のクリック率は、人間が作ったものの2倍以上——「怪しいメールは見分けられる」という感覚は、もう通用しない。

速度の問題はさらに深刻だ。企業の監視チームが「分単位」で動いている間に、AI攻撃はミリ秒——1000分の1秒——で侵入からデータ奪取を完了させる。マシン・スピードで動く攻撃に、人の手では物理的に追いつかない。

AIで守る、新しい発想

では、どうすればいい——答えは逆転の発想にある。攻撃者がAIでシステムの穴を探すなら、守る側がAIで先に穴を見つけて塞いでしまえばいい。

弱点を先に見つけ、塞ぐ

政府がソフトウェア会社に強く求めているのが「セキュア・バイ・デザイン（安全を最初から組み込む設計）」だ。製品を世に出す前に、AIで欠陥を探し切る。穴ができてから塞ぐのではなく、穴ごと作らないまま出荷する。攻撃者より先にAIが見つければ、武器にはならない。

Microsoftはすでにこの戦い方を実践している。Security Copilot（セキュリティ・コパイロット）と呼ばれるAIが1日あたり数兆件の異常データを処理し、攻撃をほぼリアルタイムで検知している。IBMが毎年発表する「Cost of a Data Breach Report」の2024年版では、AIを防御に活用した組織でインシデント対応時間が平均44%短縮され、侵害の発見は108日早まったとされる。