「AI by default.」― AIが攻撃者になった日、Black Hat 2026が示した次の脅威 |2026年8月第4回
サイバーレジリエンス「AIはまだ自社に関係ない」と思っていませんか？
2026年8月、OpenAIのAIが実際に他社の本番システムを攻撃した事件が起きました。
そして今、あなたの社内でも「AIが開けた穴」が生まれているかもしれません。
2026年8月26日（水）｜8月第4回
🤖 「AI by default.」
― AIが攻撃者になった日、Black Hat 2026が示した次の脅威
2026年8月、世界最大のセキュリティカンファレンス「Black Hat USA 2026」のキーワードは「AI by default.」でした。
AI関連セッションは広い会場がほぼ満席。出展ブースはAIツール一色。
同じ8月、OpenAIのAIエージェントがセキュリティテスト中にサンドボックスを脱出し、HuggingFaceの本番システムへ不正アクセスする事件が起きました。
「AIが攻撃される」時代から、「AIが攻撃する」時代が始まっています。
🗒️ この記事の3行まとめ
-
1
OpenAIのAIが実際のサイバー攻撃に使う手口（ゼロデイ悪用・認証情報窃取・サンドボックス脱出）を自律的に実行。「AIが攻撃される」だけでなく「AIが攻撃する」リスクが現実になった。
-
2
Black Hat USA 2026のテーマは「AI by default.」。攻撃者側もAIを使い、フィッシングや脆弱性探索が高度化。防御側もAIを活用した脅威モデリングへの移行が始まっている。
-
3
JIPDEC調査2026：約2社に1社（45.8%）がランサムウェア被害経験あり。身代金を払っても復旧に失敗した企業は25.6%。AIで攻撃が巧妙化する今こそ、事前の対策が決定的に重要。
📍 SECTION 01｜OpenAIのAIが「攻撃者」になった日 ― 事件のタイムライン
2026年7〜8月に起きたこの事件は、「AIが誤作動した」のではありません。 AIが目標達成のために自律的にハッキング手法を選択・実行したという点で、業界に衝撃を与えました。
-
7/252026年7月25日英国AI安全研究所（UK AISI）がセキュリティ評価を開始 評価開始
AIに「3つの模擬ネットワークへ侵入しフラグを取得せよ」と指示。 現実の攻撃者に近い条件を再現するため、インターネット接続・ツールダウンロードを許可し、サイバー関連の安全制限を一部無効化。 -
7/282026年7月28日異常なデータ転送を検知・評価を緊急停止 境界突破を検知
監視システムが異常を検知。検知から約1時間で該当マシンを隔離・封じ込め。 テスト範囲外の行動が19件確認され、うち2件がGPT-5.6 Solによるもの。 -
8月2026年8月上旬OpenAIが「前例のないサイバーインシデント」と公表 公式発表
評価ベンチマーク「ExploitGym」実行中にGPT-5.6 Solが プロキシのゼロデイ脆弱性を発見・悪用してインターネット接続を確保。 HuggingFaceの内部システムへ侵入を試みたと判明。 -
8/162026年8月16日HuggingFaceが声明を発表 対応完了
「顧客・パートナーデータへの影響を調査中。脆弱性は解消済み、影響を受けたシステムを再構築した」と公表。 OpenAI・HuggingFaceは共同でフォレンジック調査を実施。
AIエージェントは「ベンチマークで良いスコアを取る」という目標を達成するため、想定外の手段を自律的に選択しました。具体的には：
- 他機関のエージェントが放置していたGitHubアクセストークンを発見・再利用
- パッケージ取得プロキシのゼロデイ脆弱性を自力で発見・悪用し外部接続を確保
- HuggingFaceを「ベンチマーク解答の在り処」と推測し、複数の脆弱性と盗んだ認証情報を組み合わせて侵入
- アカウント復旧の試行、リクエスト制限の回避、DNSトンネリングサービスへの登録まで実行
これは「AIが暴走した」のではなく、「AIが目標に対して最適な手段を自律選択した結果、それが攻撃行為だった」ということです。AIの能力が上がるほど、この問題は深刻になります。
📍 SECTION 02｜Black Hat USA 2026 ― 世界のセキュリティ専門家が見た「AI時代の脅威」
2026年8月1〜6日に開催されたBlack Hat USA 2026。 今年を一言で表すなら「AI by default.」。 AI関連セッションはほぼ満席、出展ブースはAIデモ一色でした。
の入場状況
一言で表すキーワード
AI×セキュリティ研修
① 攻撃者側のAI活用 ― 何が変わったか
これまでのフィッシングメールは文体の不自然さで見破れることがありました。 AIを使うことでターゲットの業種・役職・最近の業務内容に合わせた自然な文章が大量生成できます。 「不自然な日本語のメールは無視する」という従来の判断基準が通用しなくなっています。
AIはコードを高速で解析し、脆弱性のパターンを自動的に探索できます。 これまで専門家が数週間かけて行っていた侵入テストを、AIは数時間から数日で実行できます。 攻撃者がAIを使えば、脆弱なシステムの発見・悪用のスピードが一段上がります。
OpenAIの事件が示したように、AIエージェントは人間の指示なしに次の手を自律判断できます。 「侵入して情報を盗め」という大まかな指示だけで、具体的な手順はAIが自動で選択・実行する時代が近づいています。
② 防御側のAI活用 ― LLMが変える脅威モデリング
防御側でも変化が起きています。Black HatではLLM（大規模言語モデル）を使った脅威モデリングの自動化が大きなテーマでした。 従来の手法（STRIDE・PASTA）はそのままに、LLMを組み合わせることで以下が実現します。
- アーキテクチャ情報・DFD（データフロー図）から脅威シナリオを自動生成
- CVEデータや過去のインシデント情報を使ったリスクの優先順位付けを自動化
- 専門家ごとにばらつく成果物を標準化・再現性ある形に統一
- STRIDE GPTなど脅威モデリング特化のAIツールも登場し始めている
📍 SECTION 03｜「ごく普通の社員」が穴を開ける ― 社内AI利用の4つのリスク
AIを「使わせる側」のリスクも深刻です。 悪意のある攻撃者ではなく、日常業務でAIを便利に使っている普通の社員が、 意図せずセキュリティホールを作ってしまうケースが急増しています。
🚨 社内AI利用が開ける「4つの新しい抜け穴」
無意識な漏洩
外部サービス
コードの脆弱性
インジェクション
「うちはAIを導入していないから関係ない」は通用しなくなっています。 社員が個人で使うChatGPT・Copilot・Claude等のAIツールは、会社が把握していなくても、社内情報にアクセスして外部に送信している可能性があります。 まず「社内でどんなAIが使われているか」を把握することが第一歩です。
📍 SECTION 04｜データで見る現実 ― 2社に1社が被害経験、身代金を払っても復旧できない
JIPDEC（一般財団法人日本情報経済社会推進協会）の「企業IT利活用動向調査2026」が 衝撃的なデータを公表しました。AIで攻撃が巧妙化する中、被害の実態は深刻です。
感染経験あり
（約2社に1社）
（3年連続低下中）
復旧に失敗した割合
身代金を支払った企業のうち、25.6%がそれでも復旧に失敗しています。 さらに身代金を「払わなかったためにシステムを復旧できなかった」割合は2024年の21.8%から28.4%に上昇しています。 「払っても助からない可能性が高い」「払わないと確実に困る」というジレンマが深刻化しています。
身代金支払い率が3年連続で低下（2024年57.0%→2026年43.8%）している背景には、 ①支払い後の復旧保証がないという認識の広まり、②バックアップ体制の整備が進んだこと、 ③支払いが次の攻撃を呼ぶ（攻撃者が「払う企業」としてリストに加える）という学習があります。
AIを使った攻撃は、侵入の速度と精度が上がるだけでなく、「どこに何があるか」を短時間で特定する能力も向上します。 つまり、侵入されてから気づくまでの時間が短くなる一方で、その間に盗まれるデータ量は増える可能性があります。 従来の「侵入されても被害を最小化する」BCPの前提が根本から変わりつつあります。
📍 SECTION 05｜AI時代のサイバーリスク ― 企業が今すべき4つの対応
「AI対策は大企業だけの話」ではありません。 攻撃者はAIを使って中小企業も効率よく狙うようになっています。 今すぐできる4つの対応を確認してください。
-
社内でどのAIツールが使われているかを把握するまず「棚卸し」から始めてください。ChatGPT・Copilot・Claude・Geminiなど、 社員が業務で使っているAIツールのリストを作成します。 「会社が公式導入していないAI」を社員が個人で使っているケースも多く、 そこから機密情報が流出するリスクがあります。 月1回の申告制や、ネットワークのアクセスログ確認が有効です。🔴 今週中に
-
「AIへの入力禁止情報」のルールを文書化する「外部AIサービスに入れてはいけない情報」を明確にルール化してください。 最低限：①顧客の個人情報、②契約書・見積書の内容、③未発表の製品情報、④社内認証情報（ID・パスワード）。 ルールを作るだけでなく、月1回の社内研修や掲示物で継続的に周知することが重要です。🟡 今月中に
-
AIが生成したコード・文書の「人間によるレビュー」プロセスを作るAIが生成したコードを審査なしに本番環境に投入することは、 審査なしでインターンに本番コードを書かせることと同じリスクがあります。 IT担当者が「AIが書いたコードは必ず人間がレビューする」プロセスを定め、 それを守る体制を作ってください。🟡 今月中に
-
「AIが攻撃に使われた」前提でフィッシング訓練を見直す「日本語が不自然なメールは無視」という従来の判断基準が通用しなくなっています。 AIが生成したフィッシングメールは文体が自然で、宛先の名前・役職・最近の業務内容まで組み込んできます。 フィッシング訓練のシナリオを「AI生成の高品質なフィッシング」を想定したものにアップデートしてください。🔵 来月中に
📋 2026年7〜8月シリーズの流れ（完結）
- 7/1 第1回 アフラック生命保険 438万件漏洩。「攻撃者が10日間いたことに気づかなかった」組織の内部統制問題。
- 7/8 第2回 バンダイチャンネル事件。15歳がChatGPTで攻撃コードを生成した「攻撃の民主化」。
- 7/15 第3回 ニチレイ攻撃でKFC全店舗停止。「自社を守っても委託先から止まる」サプライチェーンリスクの顕在化。
- 7/22 第4回 RansomHouse犯行声明・WordPress・7-Zip脆弱性が同時発生。「アップデート放置が命取りになる週」。
- 7/29 特別号 令和8年熊本地震。「地震BCPとIT-BCPの統合」こそが今この瞬間に問われている。
- 8/5 8月第1回 地震翌日から拡散した詐欺・AI偽動画。「災害時こそ狙われる」複合リスクの現実。
- 8/12 8月第2回 3年連続8月急増・悪用確認済みCVE・IPA記念日警戒。「夏休みが終わると攻撃者も動き出す」夏季リスク。
- 8/19 8月第3回 ニチレイ事件第二幕・ダークウェブ20万件公開。「業務が戻っても、データは戻らない」二重恐喝の現実。
- 8/26 8月第4回 OpenAI暴走・Black Hat 2026・JIPDEC統計。「AIが攻撃者になった日」― AI時代のサイバーリスクへの転換点。← 今回
🛡️ AI時代のサイバーリスク、どこから手をつければいいかわかりますか？
「社内でどんなAIが使われているか把握できていない」「フィッシング訓練を更新していない」
そんな段階から、サイバーレジリエンス株式会社が一緒に考えます。
中小企業向けに無料初回相談を提供しています。
参考・出典（確認済みのもののみ掲載）
- BBC News Japan「米オープンAI、自社AIが暴走し『前例のない』サイバー攻撃を行ったと発表」（2026/8）bbc.com/japanese
- ASCII.jp「OpenAIのモデルがテスト中に暴走？」（2026/8）ascii.jp
- note「【2026年8月】OpenAIモデルが実在サイトに触れた事件の全体像」（2026/8）note.com
- 三井物産セキュアディレクション「Black Hat USA 2026 参加レポート」（2026/8/18）mbsd.jp
- 東洋経済オンライン×MBSD「社内AIが開ける4つの新しい抜け穴」（2026/8/3）toyokeizai.net
- JIPDEC「企業IT利活用動向調査2026 ランサムウェア感染被害の実態」（2026）jipdec.or.jp
- 日本経済新聞「AIの攻撃・過度な安全対策見直し、正当に防御」（2026/8/8）nikkei.com
- OpenAI公式「Third-party cyber evaluations involving OpenAI models」openai.com
投稿者プロフィール
