分析・見解

8％という数字は安心材料ではなく、観測の限界を示す

AI利用が確認された攻撃が8％だと聞くと、まだ大げさに騒ぐ段階ではないと感じるかもしれない。しかしこの数字は「確認できた」割合にすぎない。攻撃者が文面作成や偵察にAIを使っても、痕跡が残らなければ集計には入らない。たとえば迷惑メールの文章が自然になったかどうかは、受け取った側から見て区別しにくい。つまり8％は下限に近い値と読むのが妥当である。

ただし、この数字が示す事実もある。大半の攻撃は、AIを使わなくても成立する古い手口で十分に成功している。攻撃者にとって、新しい道具に頼る動機が薄いほど、既存の穴が放置されているという裏返しでもある。

平均3日という速さが、月次の修正作業を無力にする

より重い数字は、深刻な脆弱性（＝システムの欠陥）が公開から平均3日で悪用されている点だ。確認された悪用の71％が1週間以内に起きている。多くの企業は、修正プログラムを月に一度まとめて適用している。この周期では、攻撃者に最初の数日を丸ごと明け渡すことになる。

過去にも、VPN機器やファイル転送ソフトの重大な欠陥が、公表直後から世界規模で悪用された例が繰り返されてきた。共通するのは、修正版が出る前か直後の短い空白期間に被害が集中することだ。攻撃者は欠陥の説明文や修正前後の差分を読み、再現手順を短時間で作る。ここでAIが補助役として効いてくる余地はあるが、今回の数字はAIがなくても十分速いことを示している。

認証もクリックも要らない欠陥が79％を占める意味

新たに悪用された深刻な欠陥の79％が、ログインやユーザー操作を必要としないものだった。社員を騙す必要すらなく、インターネットから届く場所に置かれた機器やサービスが直接狙われる。

利用者教育や多要素認証（＝パスワード以外にもう一段の確認を挟む仕組み）は重要だが、この種の欠陥には効かない。玄関に鍵を付けても、壁に穴が空いていれば入られるのと同じである。守りの重点は、外部に公開している機器の把握と、素早い修正、そして不要な公開の停止に移る。

今後は、AIの有無より悪用までの距離で脅威を測る

今後AI利用の割合は上がると考えられるが、評価軸はそこではない。見るべきは、欠陥が見つかってから実際に悪用されるまでの時間だ。この時間が縮むほど、人手による確認や承認の手順が弱点になる。AIを使う攻撃かどうかを議論するより、公開から72時間以内に動ける体制を持てるかが勝負を分ける。