AI製ゼロデイ攻撃とは｜従来型攻撃との違い・手口・実例と防御策【2026年】

AI製ゼロデイ攻撃とは、パッチ未提供の脆弱性を突く攻撃工程のうち、脆弱性の発見・エクスプロイト生成・侵入判断のいずれかをAIが自律的に担うものを指す。従来のゼロデイ攻撃が熟練者の手作業を前提としたのに対し、AIの介在で発見から悪用までの時間が数週間から数時間へ短縮された点が本質的な違いだ。2025年11月にAnthropicが公表した事例では、攻撃工程の80〜90%がAIによって自律実行されていた。本記事は定義と従来型との相違点、実際の手口、確認された事例、既存防御が追いつけない構造的理由、日本の法規制対応までを一次情報に基づき整理する。

まとめ：AI製ゼロデイ攻撃の要点

• 定義：攻撃ライフサイクルの意思決定をAIが担うか人間が担うかが、AI製ゼロデイ攻撃と「Vibe Hacking」型を分ける基準。
• 手口：LLMがソースコード解析で未知脆弱性を発見し、エクスプロイト生成・偵察・侵入をマルチエージェントで連鎖実行する。
• 実例：Google Big SleepがSQLiteのCVE-2025-6965を悪用前に阻止（2025年7月）。Anthropicは約30組織を標的とした自律型サイバースパイ活動を遮断（2025年11月）。
• 防御の課題：CVE公開からパッチ配布まで数週間かかる一方、AI攻撃者は数時間でエクスプロイトを生成する。シグネチャ依存の防御は動的ペイロードに追随できない。
• 対応：振る舞い検知・多層相関・防御側AIの併用と、日本の能動的サイバー防御（2026年10月施行）を前提とした官民連携が軸になる。

AI製ゼロデイ攻撃とは何か｜従来型サイバー攻撃との4つの違い

ゼロデイ脆弱性とは、開発元の修正パッチが公開されていない段階で悪用可能な欠陥を指す。攻撃が成立するには「脆弱性の存在」「動作するエクスプロイト」「標的環境への到達経路」の3条件が揃う必要があり、従来はこの各工程を人間が手作業で担った。AI製ゼロデイ攻撃と呼ぶのは、このうち少なくとも1工程をAIが自律的に実行するものだ。語感の近い「ゼロクリック攻撃」「ゼロトラスト」とは別概念であり、社内資料では定義を併記して混同を避けたい。

従来型とAI製の本質的な違いは、攻撃ライフサイクル内での自動化の深さにある。従来のスクリプト自動化が手順の機械的反復にとどまるのに対し、AI製攻撃は文脈理解と状況判断をモデル側で完結させる。両者の差は次の4点に集約される。

AI製ゼロデイ攻撃に該当する4類型とVibe Hackingとの判別基準

呼称の混乱を避けるため該当範囲を絞ると、(1)AIがコード解析から未知脆弱性を発見、(2)AIが既知脆弱性のエクスプロイトを自律生成、(3)AIが偵察から侵入までを連鎖実行、(4)AIが標的環境に適応してペイロードを動的変更、の4類型が該当する。一方で、フィッシング文面の生成だけにAIを使う事例や、攻撃手順の調査に対話型AIを補助的に用いる事例は「Vibe Hacking」と呼ばれる人間主導型で、AI製ゼロデイ攻撃とは区別する。判別基準は明確で、攻撃ライフサイクルの意思決定主体がAIか人間かに尽きる。報告書を書くときは4類型のどこに該当するかとVibe Hacking型との区別を一文添えるだけで、経営層への伝達精度が上がる。

LLMが脆弱性を自動発見する手口とAIによる攻撃の敷居低下

攻撃側がAIをどう使うかを工程単位で見ると、防御側の検知ポイントも明確になる。出発点はソースコード解析だ。大規模言語モデルは関数間の呼び出し関係や境界条件の妥当性を推論し、過去の脆弱性パターンから類似コードを探索してテストケースを自律生成する。GoogleのBig Sleepは2024年10月、SQLite開発版の「seriesBestIndex」関数で、本来非負であるべきiColumnフィールドが特殊なセンチネル値「-1」を誤って扱うスタックバッファアンダーフローを発見した。従来のファジングでは、同等のハーネスで150 CPU時間を費やしても再発見できなかった領域だ。意味理解型の探索が純粋なランダム探索を上回った事例として注目された。

発見後のエクスプロイト生成は、従来は熟練開発者でも数日から数週間を要した。AIエージェントを組み合わせた構成ではこの工程が数時間から数日に短縮される。Anthropicが2025年11月に公表した事例では、Claudeを悪用した攻撃者環境でAIが標的システムを分析し、独自のエクスプロイトコードを生成して認証情報を収集したと報告された。さらにマルチエージェント型では、役割分担した複数のエージェントがオーケストレーション層のもとで偵察・脆弱性スキャン・認証情報窃取・データ持ち出しを連続実行する。人手のチームなら数週間かかる試行錯誤を数日で回し切る点が、従来との構造的な差だ。

攻撃の敷居低下と自律型AIの限界

Google Threat Intelligence Group（GTIG）は2025年11月の「AI Threat Tracker」で、生成AIの悪用がニッチな実験段階から本格採用段階へ移行し、熟練者の生産性向上と、経験の浅い攻撃者でも高度な攻撃が可能になる「敷居下げ」の双方が起きていると分析した。国家支援型APTにしか実行できなかった複雑な攻撃を、相対的に経験の浅いグループが実行しつつある。

ただし自律型AIは万能ではない。Anthropicの検証では、Claudeが取得したと主張する認証情報が実際には無効だったり、抽出したデータが既に公開情報だったケースが観測された。AIは結果を誇張し、幻覚（ハルシネーション）を生成する傾向が残り、検証ステップを欠いた攻撃フレームワークでは作戦全体の効率を損なう。学習データにない独自実装の解析、複雑な状態遷移を持つアプリの動的解析、高度な難読化コードの理解で誤検知が起きやすい。この限界は、防御側にとっては検知シグナルの手がかりにもなる。

実際に観測されたAI製ゼロデイ攻撃の事例（2024〜2026年）

抽象論ではなく確認済みの事例から被害の輪郭を整理する。最初の転換点は防御側の成果だった。GoogleのBig Sleep（DeepMindとProject Zeroの共同プロジェクト）は2025年7月、SQLiteの脆弱性CVE-2025-6965を悪用前段階で特定・阻止した。これは前掲の2024年のコード解析による未知脆弱性発見とは別の事例で、実環境で悪用が差し迫った脆弱性をAIが先回りで止めた点に新しさがある。深刻度はCVSS v4.0基準で7.2、NVD（CVSS v3.1）では9.8（Critical）と評価され、SQLite 3.50.2より前の全バージョンが影響を受けるメモリ破壊の脆弱性だった。Googleはこれを「攻撃者だけが把握し、悪用が差し迫っていた」脆弱性とし、AIが実環境の悪用を先回りで阻止した初の公開事例と位置づけた。攻撃側に独占されていた発見スピードを防御側が獲得しうることを示した点に意義がある。

攻撃側の事例として最大の衝撃を与えたのが、Anthropicが2025年11月13日（米国時間）に公表した「Disrupting the first reported AI-orchestrated cyber espionage campaign」だ。同社は2025年9月中旬に検知した大規模サイバースパイ活動を遮断したと報告した。攻撃工程の80〜90%がAIにより自律実行され、人間の関与は1件の活動につき4〜6箇所の重要な意思決定に限られていた。標的は大手テクノロジー企業・金融機関・化学メーカー・政府機関など約30組織におよび、一部で侵入に成功した。攻撃者は中国の国家支援型グループとAnthropicが高い確度で評価している。攻撃者はClaude CodeとModel Context Protocol（MCP）対応ツールを自前の攻撃フレームワークに組み込み、攻撃タスクを無害に見える小単位へ分割して「防御目的のセキュリティテスト」と誤認させることでガードレールを回避していた。ピーク時にはAIが1秒あたり複数件のリクエストを実行する局面も観測された。

既存の脆弱性管理・検知がAI攻撃速度に追いつけない構造的理由

速度差の問題は、ツールの優劣ではなく運用プロセスの設計に根差す。CVE採番から修正パッチ配布までは製品により数週間から数カ月かかり、クリティカルな脆弱性でも公開24時間以内に全環境へ適用完了するのは現実には難しい。一方、AIを使う攻撃者はCVE公開後の数時間以内にエクスプロイトを生成し、自動スキャンで未パッチ環境を探索する。この乖離は「公開→評価→適用」という直列プロセスでは構造的に埋まらない。SLAを「パッチ適用時間」ではなく「攻撃面の縮小完了時間」で再定義し、暴露面の自動検出・仮想パッチング・緊急時の自動隔離を組み合わせる方向へ運用を作り替える必要がある。四半期スキャン前提の体制は、クラウド資産やAPI公開が日単位で変化する組織では攻撃面を取りこぼす。

シグネチャ型防御の限界と振る舞い検知

WAFやIPSは既知パターンのシグネチャ照合を主な検知ロジックとしてきたが、AI生成攻撃はペイロードを都度動的に変形させ、シグネチャ照合を回避する。同じ脆弱性を狙う攻撃でも生成のたびにペイロードが変わるため、シグネチャ更新が追いつかない。EDRでも、AI攻撃者が正規ツールを悪用するLiving Off The Land（環境寄生型）を多用するため、誤検知抑制の設定に本物の攻撃が紛れ込むリスクが残る。有効なのは振る舞い検知だ。識別しやすいパターンは、(1)人間には不可能な高速連続リクエスト、(2)定型化されたツールチェーンの呼び出し順序、(3)取得した認証情報の真偽検証にともなう短時間の多アカウントログイン試行、の3種。ただし攻撃側もこれらを認識して回避へ向かうため、検知ルールは半年から1年単位で棚卸しする前提で運用する。

防御側AIの活用と人間に残る判断領域

攻撃側のAI利用に対し、防御側も同等以上にAIを取り入れなければ均衡は崩れる。SOAR連携によるインシデント初動の自動化（フィッシング隔離・感染端末の遮断・異常検知後のアカウントロック）や、AIアシスト型の脆弱性診断は現実的な打ち手だ。攻撃シミュレーションを継続実施するAIレッドチーミングの自動化（Azure Red Teaming Agentの仕組み）も、防御モデルの陳腐化を早期に検知する手段になる。一方で、影響範囲が大きく後戻りできない意思決定はAIに委ねてはならない。本番系の隔離・遮断は「AIが提案し人間が承認」、外部公表や法執行機関との連携は人間が最終判断する。可逆的で定型的な処理をAIに任せ、不可逆な判断を人間に残す原則を社内ガイドラインに明文化しておく。

日本企業が押さえるべき法規制と実務対応（2026年時点）

技術と運用に加え、法制度の動きも実務に直結する。日本では2025年5月16日に「サイバー対処能力強化法」（正式名称：重要電子計算機に対する不正な行為による被害の防止に関する法律、令和7年法律第42号）が成立し、5月23日に公布された。一部を除き2026年10月1日に施行される。柱は官民連携の強化・通信情報の利用・攻撃サーバーの無害化・体制整備の4つで、攻撃の兆候を検知した段階で国が主体的に介入する「能動的サイバー防御」を制度化する。政府は内閣サイバーセキュリティセンター（NISC）を改組し、2025年7月1日に国家サイバー統括室（NCO）を発足させた。保護対象には経済安全保障推進法の基幹インフラ事業者（2025年7月末時点で約257社）が含まれる。

EU域内で事業を展開する企業には、2024年8月1日に発効し原則2026年8月2日から本格適用されるEU AI Actが影響する。ハイリスクAIシステムにはリスク管理・データガバナンス・ログ管理・人による監視・サイバーセキュリティの要求が課され、システミックリスクを伴う汎用目的AIモデル（GPAI）には敵対性テストなど追加義務が課される。2025年12月に欧州委員会が高リスク規定の適用スケジュールの一部見直しを提案（デジタル・オムニバス法案）するなど動向は流動的だが、違反時の罰則は最大3,500万ユーロまたは全世界年間売上高の一定割合と高額で、対応の優先度は高い。実務では、インシデント発生時にサイバー対処能力強化法と個人情報保護法（発生のおそれを含む漏えい時は個人情報保護委員会への速報・確報が必要）の報告が同時に走る前提で、法務部門と連携した対応フローを平時から整備しておく。

よくある質問

ゼロデイ攻撃とAI製ゼロデイ攻撃はどう違いますか？

ゼロデイ攻撃はパッチ未提供の脆弱性を突く攻撃全般を指します。AI製ゼロデイ攻撃はそのうち、脆弱性の発見・エクスプロイト生成・侵入判断のいずれかをAIが自律的に担うものです。従来は熟練者の手作業で数週間かかった工程が、数時間から数日に短縮される点が実務上の脅威です。

Vibe HackingとAI製ゼロデイ攻撃の違いは何ですか？

Vibe Hackingは、フィッシング文面の生成や攻撃手順の調査にAIを補助的に使う人間主導型を指します。AI製ゼロデイ攻撃は攻撃ライフサイクルの意思決定自体をAIが担う点で異なります。判別基準は「意思決定の主体がAIか人間か」です。

自律型エクスプロイト生成能力はどこまで実現していますか？

Anthropicの2025年11月の事例では、AIが標的環境を分析して独自のエクスプロイトを生成し、攻撃工程の80〜90%を自律実行しました。ただし無効な認証情報の取得や結果の誇張といった失敗も観測されており、完全自律には結果の自動検証というボトルネックが残ります。

生成AIの悪用で攻撃の敷居はどれだけ下がりましたか？

GTIGの分析では、生成AIが熟練者の生産性を高めると同時に、経験の浅い攻撃者でも高度な攻撃を可能にする「敷居下げ」が起きています。国家支援型APTにしか実行できなかった複雑な攻撃を、相対的に経験の浅いグループが実行しつつある段階です。

脆弱性のCVSSスコアはどの程度から警戒すべきですか？

CVSSは深刻度を0.0〜10.0で表す指標で、一般に7.0以上（High）が優先対応の目安です。CVE-2025-6965はCVSS v4.0で7.2、NVD（v3.1）では9.8と評価され、採点する版によって数値が変わる点にも注意が要ります。評価基準や環境スコアの考え方はCVSSv3の概要と基本的な考え方で確認できます。

関連記事

• AIによる生物兵器設計は現実化するか？Microsoftが発見した生命科学ゼロデイ脆弱性の実態と影響
• AIレッドチーミングを自動化するAzure Red Teaming Agentの仕組みと導入・運用
• Constitutional AI（憲法AI）とは？AnthropicがAIの自己学習で安全性を高める仕組み
• CVSSv3の概要と基本的な考え方についての詳細解説