「かつて、サイバー攻撃には高い技能が必要でした。現在、AI がそれを変えつつあります。」

セキュリティ研究の泰斗ブルース・シュナイアーのこの一言が、今週の Five Eyes（米国・英国・オーストラリア・カナダ・ニュージーランド）の共同警告の核心を突いています。この警告は単なる「AI は危険だ」という抽象的な警句ではなく、具体的な脅威：AI が従来の高度なサイバー攻撃を「民主化」させているという現実を指しています。

Five Eyes が警告したもの

先週、5 カ国の国家安全保障機関が異例の共同声明を発表しました。その内容は以下の通りです：

  • AI モデルは自律的にシステムへの侵入を行うことができる
  • 攻撃の成功率が従来より高い
  • 専門知識がない人間でも高度な攻撃が可能になっている

これは政治的な修辞ではなく、実際の技術検証に基づいた警告です。

「万能アドバイザー」としての AI の危険性

シュナイアーは The Guardian での寄稿で、AI システムの本質的な問題を指摘しています。

現代の AI（特に大規模言語モデル）は、「質問に対して的確な答えを与える」という設計がなされています。その結果、以下のような現象が起きています：

  • セキュリティの脆弱性を質問すれば、その脆弱性を突く方法を教える
  • ファイアウォールの回避方法を問えば、実装可能な回避技術を提示する
  • ソースコードの弱点を指摘すれば、その弱点を利用するエクスプロイトコードを生成する

つまり、AI は 「害悪なことも無差別に支援する万能アドバイザー」 として機能しているのです。

スキル要件の劇的な低下

従来のサイバー犯罪には、以下のハードルがありました：

  1. 技術知識 ― ネットワークプロトコル、プログラミング、システムアーキテクチャの理解
  2. ツール開発能力 ― 既存のエクスプロイトを改造し、特定の環境に適応させるスキル
  3. 失敗の経験 ― 試行錯誤を通じた学習

AI の登場により、これらのハードルは劇的に低下しています。

例えば、「Apache Tomcat サーバーへの侵入方法」と AI に質問すれば、数秒で実行可能な攻撃シーケンスが返ってきます。昨年であれば、これを実現するには数週間の研究と複数の参考文献が必要でした。

防御側がより危機的な状況に

国家や企業の防御戦略の多くは、「攻撃者はリソースが限定されている」という前提に基づいていました。

  • 高度な攻撃は少数の国家スポンサー攻撃者にしかできない
  • 大多数の犯罪者は既存のツールとマニュアルに頼っている
  • 防御側は「最も洗練された脅威」に対応すれば十分

この前提は完全に破壊されました。

現在、「資金も技術的スキルもない個人」が、数ヶ月前には国家スポンサー攻撃者レベルの攻撃を実行できるようになっています。

既存の防御戦略の破綻

従来のセキュリティ対策（ファイアウォール、侵入検知システム、多要素認証）は、「既知の攻撃パターン」に対する検出と防止を基本としていました。

しかし、AI が日々新しい攻撃バリエーションを生成し続けるなら、「未知の攻撃」は常に多数存在する ことになります。

防御側も AI を導入する必要があります。OpenAI や Google、Anthropic がセキュリティツールの開発を加速させているのは、この軍拡競争の象徴です。

国家レベルでの危機感

Five Eyes が共同声明を発表した背景には、既存の国家防御能力の相対的な低下への危機感があります。

  • 重要インフラ（電力網、金融システム、通信）への脅威が質的に変わった
  • 従来の「敵国の国家攻撃者」だけでなく、「スキル低い個人テロリスト」も同等の被害を与えられるようになった
  • 各国の防御体制の多くが、この新しい脅威レベルに対応していない

これは単なる「サイバー犯罪の増加」ではなく、安全保障上の根本的な転換です。

読者が今知るべき 3 つのポイント

1. あなたの職場のセキュリティも高リスク状態の可能性が高い

多くの企業のセキュリティ体制は「年 1 回の侵入テスト」と「従業員教育」程度です。それは既に 不十分 です。

AI 攻撃者は「24 時間、365 日、複数の手法を並行して試す」ことが可能です。人間のセキュリティチームは疲弊します。

2. パスワードと多要素認証だけではもう守れない

これらは必要条件ですが、充分条件ではありません。ゼロトラスト・アーキテクチャ（すべてのアクセスを検証）への移行が必須です。

3. 政府の政策は「後追い」になる可能性が高い

Five Eyes の警告は重要ですが、それに基づいた防御体制の構築には数年単位での時間がかかります。その間に、被害は積み重なります。

AI 時代のセキュリティ原則

シュナイアーは結論として、以下を強調しています：

  • AI による脅威は「新しい種類の攻撃」ではなく、「従来の攻撃の加速と大衆化」である
  • 防御側も AI を活用する必要があるが、それ以上に「組織的な対応」と「政策的なアプローチ」が不可欠
  • 「完全な防御」は不可能である以上、「検出と対応」の速度を上げることに資源を集中すべき

次の危機は近い

Five Eyes の警告は「すでに起きている脅威」に対するものです。つまり、公開されていない大規模な攻撃が既に複数進行中の可能性が高い ことを示唆しています。

各国政府・企業・個人が、セキュリティ対策を抜本的に見直すまでの間、リスクは指数関数的に増加し続けるでしょう。