脅威に気づいてから悪用されるまで、もう「時間単位」で動いている
情報処理推進機構、通称IPAが、2026年9月7日に公開した資料に、かなり踏み込んだ内容がありました。セキュリティ上の弱点が見つかってから、実際に悪用されるまでの速さについての調査です。
ある調査によると、見つかった弱点のうち、悪用の手口が作られたものが多数あり、その多くが半日ほどで実際に攻撃が成立する状態になっていました。早いものだと、1時間もかからなかったそうです。弱点の情報が公開された後、実際に悪用されるケースの多くが、2日以内に起きているという調査も紹介されていました。
これまでは、月に一度まとめて対応する、担当者が順番に調べて手を打っていく、というやり方が一般的でした。でも、この速さの前では、そのやり方自体が追いつかなくなりつつあります。人が確認してから対応するのを待っていたら、その間に被害が広がってしまう、ということです。
怖いのは、攻撃する側だけではない
もう一つ、見落としてはいけない指摘がありました。AIを使って開発を進める仕組み自体が、新しく狙われる対象になり始めている、という点です。便利に使っている道具そのものが、入り口として狙われる時代に入ってきている、ということです。
一方で、AIによる自動修正も、万能ではありません。複雑な問題に対してAIが作った修正案を大量に調べた結果、狙った通りに問題を完全に直せていたのは、平均で4分の1程度だったという調査結果があります。半分以上のケースでは、問題が残ったままだったり、逆に新しい問題を生んでしまっていたりしたそうです。
僕がこの話で一番大事だと思ったのは、AIを使えば安全になる、AIに任せれば安心、という単純な話ではない、という点です。攻撃する側も、直す側も、両方が速くなる。速さそのものが、良い方にも悪い方にも働く、ということです。
「全部を人が確認する」から、「どこを人に残すか設計する」へ
だからこそ、結論はシンプルです。「人がすべて確認してから進める」という発想は、もう現実的ではありません。代わりに必要なのは、「どこだけは必ず人間の判断を通すか」を、あらかじめ決めておくことです。
すべてを人が見ることはできない。でも、何も見ずに任せきりにするのも危険。この中間を、事前に設計しておく。これは以前書いた、開発元の安全性評価を鵜呑みにしないという話とも、根っこの部分でつながっています。
経営者にとっての意味
自社でAIを使った仕組みを動かしているなら、「重要な変更は必ず人が承認する」「外部とやり取りする部分だけは確認を挟む」といった、最低限の関所を先に決めておいてください。全部を細かくチェックする必要はありません。ここだけは絶対に人を通す、という一点を決めておくだけで、被害の広がり方はまったく変わってきます。
まとめ
セキュリティ上の弱点が悪用されるまでの時間は、これまでとは比べ物にならないほど短くなっています。AIによる自動修正も完璧ではなく、攻撃と防御の両方が速くなっているのが今の状況です。だからこそ、すべてを人が確認しようとするのではなく、どこだけは必ず人間の判断を通すかを、先に決めておくことが大事になります。
セキュリティ対応が後手に回っていることで困っていませんか？もしそうなら、まず「ここだけは人が必ず見る」という一点を決めるところから始めてみてください。AI導入・業務自動化支援では、その設計から一緒にやります。まずは60分の無料個別相談へ。
あわせて読みたい
