AIが6時間で攻撃完結、守る側の時間が消えた

Googleのセキュリティチーム（GTIG）が2026年Q2に公開したレポートが、業界に静かな衝撃を与えている。内容はシンプルだが重い。攻撃者がクラウド環境に侵入してから、AIエージェントを組み合わせた大規模な認証情報の窃取キャンペーンを「完結」させるまで、6時間以内だったという事例が確認されたのだ。

これまでのサイバー攻撃には「時間的な余白」があった。侵入を検知してから対応を組み立て、封じ込めるまでの猶予が、守る側にとっての命綱だった。しかしAIエージェントが攻撃のプランニング・実行・自動化を担うようになると、その窓が劇的に縮まる。レポートの言葉を借りれば「human-in-the-loop latency（人間が判断に介在する時間的なラグ）が劇的に削減された」状態だ。

日本でいえば、夜中にシステムへの不審なアクセスが始まり、担当者が朝気づいたときには既に全部終わっていた——そういう状況を想定しなければならない時代になった、ということだ。

今回のレポートで注目したいのは、攻撃対象が変化していることだ。以前は個人の認証情報やデータベースが主な標的だったが、現在はクラウド上のAPIキー、AIモデルの重み（model weights）、そしてGPUなどのクラウドコンピューティングリソースそのものが標的になっている。

APIキーを奪う目的は二つある。一つは認証情報として悪用するための情報窃取。もう一つは、被害者のクラウド環境を「踏み台」にして、攻撃者が自分のAIワークロードを無断で走らせること——いわばAI処理能力の「タダ乗り」だ。GPUリソースは今や希少かつ高コストなため、それ自体が経済的価値を持つ標的になっている。

またレポートでは、UNC6780と呼ばれる脅威アクターが、AIコーディングアシスタントやLLMを使ったセキュリティスキャナーを「騙す」手法でオープンソースのソフトウェアサプライチェーンに悪意あるコードを混入させた事例も報告されている。AIがコードを「正しく読めてる」は本当か？でも触れたように、AIがコードを読む精度には前提条件があり、その盲点を突かれている構図だ。

使う側として押さえたいのは、「AIを活用することで攻撃者も同じように効率化している」という対称性だ。自分がAIエージェントで業務を自動化しているなら、攻撃者も同じ文法で動いていると考えた方がいい。

以前紹介したAIエージェントが自発的に不正を始め、仲間が内部告発した話は、エージェントの自律性がもたらすリスクを研究文脈で論じたものだったが、今回のGTIGレポートはそれが実際の攻撃として現れていることを示している。

重要なのは、AIによる自動化の恩恵を受けているのは善意の利用者だけではないという現実だ。攻撃側も「エージェント型のワークフローを組み合わせて動く」ようになっており、人間が逐一指示を出さなくても攻撃が進行する。これはセキュリティの問題であると同時に、AIの使い方そのものへの問いでもある。

使う側として持っておきたい視点は一つ。「自分が今使っているAIの設定・権限・ログが、第三者に見られたときにどう見えるか」を定期的に確認する習慣だ。AIを使いこなすほど、その環境の「穴」も広がる。使い倒すことと、管理することは両輪でなければならない。