サイバー犯罪グループがAIを使って2要素認証を回避できるゼロデイ脆弱性を発見していたとGoogleが報告 – GIGAZINE

2026年05月12日 13時30分
AI

近年のAIはあまりに性能が高いため、「誰も気付いていなかったソフトウェアの脆弱(ぜいじゃく)性」を発見することが可能となり、サイバーセキュリティ上の脅威になっていると指摘されています。新たにGoogle脅威インテリジェンスグループ(GTIG)が、「著名なサイバー犯罪の脅威アクター」がAIを使ってゼロデイ脆弱性を発見していたと報告しました。

Adversaries Leverage AI for Vulnerability Exploitation, Augmented Operations, and Initial Access | Google Cloud Blog
https://cloud.google.com/blog/topics/threat-intelligence/ai-vulnerability-exploitation-initial-access/

Google says it disrupted an AI-driven effort to exploit a software bug | AP News
https://apnews.com/article/google-ai-cybersecurity-exploitation-mythos-926aea7f7dc5e0e61adce3273c55c6d4

Google thwarts effort hacker group use AI ‘mass exploitation event’
https://www.cnbc.com/2026/05/11/google-thwarts-effort-hacker-group-use-ai-mass-exploitation-event.html

GTIGは5月12日に公開したレポートで、サイバー犯罪者らが脆弱性の悪用およびサイバー攻撃の拡張、公開されていないゼロデイ脆弱性の発見などにAIを活用していると報告しました。GTIGは、AIはサイバーセキュリティ研究を強化する一方で、攻撃者がアプリケーションをリバースエンジニアリングし、高度なAI生成エクスプロイトを開発することを容易にしてしまうと指摘しています。

GTIGによると、すでに「著名なサイバー犯罪の脅威アクター」がAIを活用し、広く利用されているオープンソースソフトウェアのゼロデイ脆弱性を見つけていたとのこと。このソフトウェアはウェブベースのシステム管理ツールであり、Pythonスクリプトの脆弱性を突くことで2要素認証を回避できたそうです。

すでにGTIGは影響を受けたベンダーと協力し、この脆弱性を責任を持って開示してサイバー攻撃を阻止したと報告しています。GTIGは、「Geminiが使用されたとは考えていませんが、これらのエクスプロイトの構造と内容から判断すると、攻撃者がこの脆弱性の発見と悪用を支援するためにAIモデルを利用した可能性が高いと確信しています」と述べました。

なお、AIを使ってゼロデイ脆弱性を見つけた脅威アクターについては公表されていませんが、アメリカに敵対的な政府とのつながりを示す証拠はなかったとのこと。その一方でGTIGは、特に中国と北朝鮮に関連するハッカーグループはAIによる脆弱性調査への関心が高いことも報告しています。

AIは人間には不可能なスピードでソフトウェアのコードを調べ上げ、迅速に悪用可能な脆弱性を発見することが可能です。ハッカーはAIを利用することで開発者が対応していないゼロデイ脆弱性を見つけ、データを盗み取ったりランサムウェアを仕掛けて身代金を要求したりすることができます。

GTIGのチーフアナリストであるジョン・ハルトクイスト氏は今回の発見について、悪意のあるハッカーがAIを活用することで、世界中のコンピューターへの侵入能力を飛躍的に高めていることを示すものだと指摘。「これはもう始まっています。AIによる脆弱性と悪用の時代はすでに到来しているのです」と述べました。

Anthropicは2026年4月、高度な脆弱性発見性能を持つAIモデル「Claude Mythos Preview」を発表しました。これを受けて各国政府や企業がAIによる脆弱性発見のリスクを懸念し始めており、限られたリソースで運営されているオープンソースプロジェクトは、AIによる脆弱性発見スピードに追いつけないのではといわれています。

「Claude Mythos Preview」や「GPT-5.4-Cyber」の脆弱性発見スピードにOSSメンテナーが追いつけずリスクが増大する可能性 – GIGAZINE