脆弱性への対応時間は、従来の数日から数時間へと大幅に短縮されています。AIはコードを高度に解析し、大規模に有効なエクスプロイトを生成できるようになったため、防御側に与えられるパッチ適用の猶予期間は12〜72時間にまで縮まっています。

現在、あなたの組織が公開しているAIインフラは積極的に探索されています。モデルサーバー、推論エンドポイント、エージェント管理パネルがインターネットに露出しており、ほとんどのセキュリティチームはそれらの存在さえ把握していません。

承認されたAI利用を通じたデータ漏えいは、わずか1年で2倍に増加しました。従業員が生成AIに文脈情報を共有することで有用な回答を得ようとする日常的なワークフローの中で、認証情報やソースコードが意図せず外部に流出しています。攻撃は必要ありません。

今年初めの単一のオペレーションにおいて、ある攻撃者がClaude CodeとGPT-4.1を並行稼働させ、メキシコの9つの政府機関を侵害し、4億件のレコードを窃取しました。AIは各ステップ間でほぼ人間の指示を必要とせず、一連の作戦を遂行しました。

スピード、可視性、ガバナンスは連動して前進しなければなりません。防御はマシンスピードで稼働し、見えていないものを発見し、従業員が日々AIをどのように使用しているかを制御する必要があります。

AIが「補助者」から「実行者」へと移行

長年にわたり、サイバーセキュリティ業界はAIを力の乗数として捉えてきました。既存の攻撃手法をより速く、安価に、そしてより多くの人が利用できるようにするものとしてです。その認識は正確でしたが、Check Point Researchが発表した「AIセキュリティレポート2026」は、さらに踏み込んだ変化を記録しています。AIは補助者から実行者へと移行したのです。以前は攻撃者の準備を支援するだけでしたが、今やオペレーション自体を遂行します。以下は、過去12か月間の実際のインシデントや事例研究に基づいた、同レポートの主要な発見事項の構造的レビューです。

攻撃チェーン全体に参加するAI

AIは今や、マルウェアの作成からライブネットワーク内でのコマンド実行に至るまで、攻撃チェーンのあらゆる段階に直接関与しています。ステップ間の人間の指示はほとんど不要です。過去1年間で最も明確な事例は、2025年末から2026年初頭にかけてのメキシコ政府9機関への侵害です。単一のオペレーターがClaude CodeとGPT-4.1を並行稼働させ、一方が34セッションにわたってライブエクスプロイトを処理し、もう一方が窃取データの分析と後続アクティビティの自動指示を担いました。人間がアーキテクチャを起動し、AIが作戦を遂行。5,000件以上のコマンドが実行され、約4億件のレコードが流出しました。

AIは犯罪ツール市場の産業化も推進しています。Phishing-as-a-Serviceプラットフォームは言語モデルを攻撃ワークフローに直接組み込み、窃取したアカウントを自動的にスキャンし、被害者の文体を模倣し、説得力のある詐欺メールを生成します。音声詐欺プラットフォームは完全自動化されたAIエージェントを運用し、ターゲットをスクリプト化されたアカウント復旧コールに誘導してワンタイムパスコードを窃取します。人間のオペレーターは不要です。ジェイルブレイクは製品に組み込まれており、購入者はAIスキルがなくても高度な多段階攻撃を実行できます。

脆弱性対応時間の圧縮

AIはコードの推論能力が十分に高まり、攻防双方のレースを同時に加速しています。GoogleのThreat Intelligence Groupは大規模エクスプロイトを目的とした最初のAI支援ゼロデイを報告し、他の研究ではフロンティアモデルが大規模に有効なゼロデイエクスプロイトを生成することが示されました。実際の影響は時間の圧縮です。かつては防御側に数日の猶予を与えていた脆弱性開示が、今では数時間しか与えません。米国政府のCISAは機関に対し、最も高リスクの脆弱性を3日以内に修正するよう義務付けました。インドのCERT-Inはさらに踏み込み、組織に対して重大なシステムを12時間以内にパッチ適用するよう勧告しています。

AI自体がターゲットに

組織がAIをメール、ドキュメント、コード、コアビジネスワークフローに組み込むにつれ、AIスタック自体が攻撃対象となりました。AIが通常の業務として読み込むコンテンツ内に悪意ある指示を隠す「間接プロンプトインジェクション」は、概念実証から運用上の脅威へと進化しました。Check Point AI Securityは、2026年3月から5月にかけて大規模な悪意あるプロンプトインジェクションペイロードの検出数が約5倍に増加したことを記録しており、間接インジェクションが理論上のものではなく日常的な攻撃経路となっていることと一致しています。

図1：ペイロードサイズ別の悪意あるプロンプト検出率

AIインフラは従来の手段でも標的となっています。Ollamaの重大な脆弱性により、約30万台のインターネット接続モデルサーバーがプロンプト、キー、環境変数を漏えいしました。GreyNoiseは1四半期に約9万1,000件の攻撃セッションがLLMデプロイメントを探索したことを記録しました。AIソフトウェアサプライチェーンも同様に脆弱でした。2025年11月のShai-Hulud ワームは、広く使われているコードパッケージ数百件と数万のリポジトリを侵害し、ビルドパイプラインを通じて自動的に拡散しながら開発者の認証情報を窃取しました。

生成的アイデンティティ脅威

音声、顔、ドキュメント、リアルタイム動画のいずれも今や説得力を持って合成できるようになり、それらはもはや単独でアイデンティティの証明として機能しません。過去1年間で、リアルタイムのフェイススワップは国家レベルの作戦から産業化された詐欺へと移行しました。ドキュメント偽造は商品化が進み、あるサービスは56か国の銀行KYCチェックを通過できるAI生成の偽造IDを1万件以上販売しました。北朝鮮に関連するグループはこれをさらに推し進め、AIが作成したペルソナを使って工作員を正規のリモート従業員として西側企業に採用させ、政権の兵器プログラムのために約8億ドルを生み出しました。

図2：メディアタイプと成熟度別の生成的アイデンティティ脅威（Check Point Research、2025年）

承認されたAI利用によるデータ漏えい

高リスクのGenAIプロンプトは過去1年で2%から4%に倍増しました。平均的な組織は月に10のAIアプリケーションを実行しており、その多くは正式な承認なしに使われています。ビジネスサービス業界は全業種の中で最も高い割合を示し、AI操作の約17回に1回が機密データ漏えいの実際のリスクを伴っていました。2026年5月までには、これはAI操作の14回に1回にまで上昇しました。この漏えいのほとんどは攻撃ではなく、日常的な承認された利用から生じており、従業員が有用な回答を得るために自分では気づかないまま多くの文脈情報を共有しています。

図3：地域別の高リスクプロンプト

三つのリスクカテゴリと防御戦略

本レポートのリスクは三つのカテゴリに分類されており、それぞれが異なる種類の防御を必要とします。AI自体を保護すること、AI駆動の攻撃のスピードに対応すること、そして実際に職員全体でAIがどのように使用されているかをガバナンスすることです。

AIとそのインフラを保護する

ほとんどのセキュリティチームは自社のAI攻撃面の最もリスクの高い部分を把握できていません。保護は可視性から始まり、エージェントが稼働した後の挙動の管理にまで及びます。

• AI Agent Security：プロンプト、ツール、データ、アクションとのエージェントの相互作用をリアルタイムで管理し、プロンプトインジェクション、汚染された設定、安全でないツール使用による操作を防止します。
• AI Red Teaming：攻撃者に先駆けてAIアプリケーションが機密データを漏えいしたりポリシーを回避したりするよう誘導できるかをテストし、モデル、プロンプト、権限への重要な変更後に都度セキュリティを検証します。
• WAF：デュアルレイヤーMLエンジンを搭載し、シグネチャを必要とせず、ダウンタイムを発生させることなく、プロンプトインジェクションや安全でないコンテンツを境界でブロックします。
• AI Factory Security：独自のAIインフラを構築する組織向けに、ハードウェア、ワークロード、コンテナ、推論API、エンドポイントにわたる多層防御を提供します。
• Exposure Management：公開されたモデルサーバーやエージェント管理パネルを含む、すべてのインターネット向けAI資産を発見し、新たに公開されたインフラをその瞬間に検出します。

AIのスピードに対応した防御

侵害は今や複数のターゲットを同時に展開し、チェックイン間の作業はAIが処理します。人間のスピードで作業するセキュリティチームはそのペースについていけないため、防御もAIで動かす必要があります。

• ThreatCloud AI：継続的なバックグラウンドインテリジェンスの生成と、ネットワーク、メール、エンドポイント、モバイル、クラウドにわたってつながるCheck Pointセンサーからのリアルタイムクエリへの応答という二つのスピードで同時に稼働します。
• フロンティアAIモデル対応プログラム：Check Point独自のモデル非依存のBLASTテクノロジーを含み、Check Point自身の防御を支えるフロンティアモデルの脆弱性を事前に発見・解決し、他で悪用される前にギャップを閉じます。

AI利用のガバナンス

本レポートの多くの漏えいは攻撃によるものではなく、従業員が有用な回答を得るためにより多くの情報を共有するという日常的な承認された利用から生じています。

• Workforce AI Security：組織全体の承認済み・未承認のAIアプリケーションを発見し、GenAIプロンプトにリアルタイムのデータ損失防止を適用することで、認証情報、ソースコード、顧客データが日常的なAI利用を通じて外部に流出するのを防ぎます。
• Exposure Management：同じ可視性を外部サーフェスにも拡張し、スキャナーのボリュームではなく実際に悪用可能なものによってリスクをランク付けします。また、ブランド保護と脅威インテリジェンス層を通じて、フィッシングページ、クローンサイト、AIサービスログインを含む窃取された認証情報がすでにダークウェブや深層ウェブで流通していることを検出します。

完全な調査結果を読むには、こちらからCheck Point ResearchのAIセキュリティレポート2026にアクセスしてください。