AI × サイバーセキュリティ｜仕組み・原理編
文章を返すAIが、
どうしてシステムを動かせるの？
「AIがハッキングに使われた」と聞いても、普段のチャット画面からは、その仕組みを想像しにくいかもしれません。文章を返すAIと、現実のコンピューターへの操作は、どこでつながるのでしょうか。
この記事では、人間・AIモデル・外部ツール・権限の4つに分けて、そのつながりを説明します。架空の会社の安全な点検例を使い、AIを利用した攻撃と防御に共通する原理を見ていきましょう。
- AIは操作内容を選ぶ読み取った情報から、次の作業やツールへの要求を生成します。
- ツールが実際に動かす通信やプログラムの実行は、接続されたソフトウェアが担います。
- 権限と接続先が重要何を操作できるかと、何をしてよいかを分けて考えます。
01AIはどうやってハッキングするの？
AIが現実のシステムへの操作に関われるのは、AIの出力を、通信やプログラム実行ができる外部ツールにつなげる仕組みがあるからです。AIモデルは操作内容を生成し、接続されたソフトウェアが実際の処理を行います。[1][2]
たとえば、AIが資料やプログラムを読んで、確認すべき点を挙げる。その内容に応じてツールが処理し、結果をAIに返す。この連携が、不正な目的で使われれば、攻撃の一部を担うことがあります。
ただし、ツールが処理を実行したことと、攻撃に成功したことは別です。要求が拒否されたり、見立てが間違っていたりすれば、狙った結果にはなりません。
現実の操作につながる、4つの役割
目的や対象、利用する環境を設定する。
情報を読み、次の行動や作業内容を生成する。
通信やプログラムの実行などを行う。
ここでいう「人間」は、1人とは限りません。目的を決める利用者、ツールを接続する開発者、権限を設定する運用担当者に分かれることもあります。誰がどの判断を担うかは、システムごとに異なります。
02そもそも「ハッキング」と「サイバー攻撃」は同じ？
「ハッキング」は、不正な侵入を指して使われることがあります。一方、技術的な工夫や、許可されたセキュリティ検証を指す用法もあり、言葉だけで犯罪とは決まりません。
たとえば、ペネトレーションテストは、攻撃を模した方法で安全性を確かめる検査です。対象や条件を定めて、システムの弱点を調べます。[5]
本記事でいう「サイバー攻撃」は、不正に情報を取得・改変したり、サービスの動作を妨げたりする行為を指します。似た技術を使っていても、対象側の許可と、認められた操作の範囲を守っているかが重要です。AIに「安全性の点検です」と伝えるだけでは、対象の所有者から許可を得たことにはなりません。
03AIモデルとAIエージェントの違い
AIモデル
入力をもとに、文章やコードなどを生成する中核の仕組み。ツールを使う構成では、どのツールに何を要求するかも出力します。[1]
AIエージェント
AIモデルにツールや制御の仕組みを組み合わせ、結果を見ながら次の作業を進めるシステム。「エージェント」の定義には幅があります。[3]
AIモデルが操作内容を生成することと、外部でその操作を実行することは、別の処理です。Googleの公式資料も、モデルが関数そのものを実行するのではなく、アプリ側が処理を実行して結果を戻す、と説明しています。関数とは、決められた処理を行うプログラムのまとまりです。[2]
AIが攻撃に関わる形は、1つではない
- 人間がAIの回答を利用する形：AIが作業内容やプログラムの作成を補助し、人間が確認して別のソフトウェアで実行する。
- ツールを接続して作業を進める形：AIのツール利用要求をアプリが受け取り、処理の結果をAIへ戻す。
前者では、人間が実行の橋渡しをします。後者では、その橋渡しの一部をソフトウェアが担います。ニュースで「AIが使われた」と書かれていても、どちらの形なのかで、人間の関与や自動化の程度は変わります。
また、検索、ファイル操作、プログラム実行などのツールが、チャットサービスに組み込まれる場合もあります。「チャット画面だから文章を返すだけ」とは一括りにできません。実際に使える機能と、処理が行われる環境を確かめる必要があります。[1]
ツールの名前と、使われたAIモデルの名前も別です。CrowdStrikeの2026年10月7日付の調査では、エージェント型のツールと、処理に使われた複数のAIモデルが分けて記載されています。製品名だけで、担当したモデルまで決めつけることはできません。[9]
04AIが作業を進める仕組み
一般的なエージェントでは、情報を読む → 次の行動を選ぶ → ツールが実行する → 結果を読む、というやり取りを繰り返します。これは、攻撃専用の仕組みではありません。資料の整理や、許可されたシステムの点検にも使える動作原理です。[2][3]
結果を次の入力にする、作業の循環
- AIモデル① 情報を読む
目的、与えられた資料、これまでの結果を受け取る。
- AIモデル② 次の行動を選ぶ
追加で確認することや、利用するツールへの要求を生成する。
- 外部ツール・実行環境③ ツールが実行する
実行が認められた要求を処理し、結果やエラーを返す。
- AIモデル④ 結果を読む
結果を解釈し、次の作業が必要かを判断する。
続ける場合は①へ。完了、承認待ち、回数の上限などで停止する設計もある。
AIに渡るのは、ツールから返されたデータやエラーなどです。AIがその意味を解釈して次の要求を生成するため、あらかじめ固定した処理の順序に従うだけではない動きができます。ただし、結果の読み違いや、不適切な選択も起こり得ます。
安全な概念例｜架空のA社が、自社のテスト環境を点検
説明用の想定例です。実際に行った検証ではありません。
A社は、公開前の予約サイトについて「保存設定に見落としがないか、担当者向けに整理する」という目的を設定します。使うのは架空の予約データだけ。点検用のツールはテスト環境に限定し、本番の顧客情報や他社のシステムには接続できない設定にします。
- 情報を読む：AIが、点検の対象、設定の説明、担当者が渡した資料を読む。
- 次の行動を選ぶ：AIが、保存設定を確認するため、用意された設定確認ツールの利用を要求する。
- ツールが実行する：実行環境が許可範囲を確認し、ツールがテスト環境の設定を読み取って結果を返す。
- 結果を読む：AIが、確認できた項目と判断できない項目を分け、担当者へ報告する。
この例で設定を読み取るのはツールです。AIが担当するのは、目的に合わせた作業の選択と、返された情報の整理です。設定を変更する必要があっても、この例ではAIに変更権限を与えていないため、担当者が別途判断します。
「操作できる範囲」と「操作してよい範囲」は別
権限とは、情報の閲覧や変更などを認める設定です。これに加えて、通信先の制限や、実行環境の隔離も、ツールが行える処理に影響します。隔離する仕組みは「サンドボックス」と呼ばれます。[4]
「つながる」ことは、「許可されている」ことを意味しない
たとえば、テスト環境だけを点検する約束でも、設定ミスで外部に接続できる状態になっていれば、技術的に届く範囲が約束より広くなってしまいます。
AIへの言葉による指示と、実行環境で操作を制限する設定は、両方が必要です。権限や隔離に不備があったり、システムの弱点が利用されたりすれば、想定した範囲を越えるリスクがあります。[4][8]
システムの安全性を損なう弱点は、脆弱性（ぜいじゃくせい）と呼ばれます。AIを使う攻撃でも、こうした弱点や認証の問題などが関係します。AIをつなげただけで、アクセス権のない情報が自動的に読めるようになるわけではありません。[6]
05従来のサイバー攻撃と、AIを使った攻撃は何が違う？
従来の攻撃にも、プログラムで作業を繰り返す自動化や、条件に応じて処理を変える仕組みはありました。AIで初めて自動化された、という説明は正確ではありません。
生成AIで変わり得るのは、文章やプログラム、処理結果を解釈し、作業内容の作成や次の選択を補助する部分です。英国のNCSC（国家サイバーセキュリティセンター）も、AIが既存の攻撃手法を強化する可能性を評価しています。[6]
| 比較する点 | 従来の攻撃にもある仕組み | 生成AIで補助される部分 |
|---|---|---|
| 情報の解釈 | 人間の分析や、あらかじめ作った判定ルールで情報を整理する。 | 文章やコード、結果を読み、確認点や仮説の整理を補助する。 |
| プログラム作成 | 人間が作成したり、既存のツールやプログラムを使ったりする。 | 作成や修正の一部を支援する。正しく動くかの確認は必要。 |
| 作業の自動化 | プログラムが決められた処理を繰り返す。条件分岐もできる。 | モデルが作業を選び、ツールの処理結果を次の入力にできる。 |
| 状況への対応 | 想定済みの分岐や、人間の判断で処理を変える。 | 返された情報を解釈し、次の作業の候補を生成する。読み違いも起こる。 |
| 人間の関与 | 目的、ツールの準備、判断などを担う。自動化の程度はさまざま。 | 一部の操作指示を減らせる場合がある。初期設定や重要な判断には人間も関わる。 |
つまり、「実行するソフトウェア」に加え、「情報を解釈し、次の作業を選ぶモデル」を組み込めることが、仕組みを理解するうえでのポイントです。AIを使う攻撃のすべてが、最初から最後まで自動で進むわけではありません。
06AIがあれば誰でも攻撃できるの？
AIの補助で、作業の一部に必要な技術的ハードルが下がるおそれはあります。情報の整理やプログラム作成を支援できれば、人間がすべてを自力で行う場合より、必要な手間や知識の一部が減る可能性があるためです。[6]
一方、それは「知識なしで誰でも攻撃に成功できる」という意味ではありません。対象の状態を理解する力、ツールを使う環境、結果の確認、対象システムの弱点なども関わります。手順やプログラムを生成できることと、実際に通用することは別です。
「学生の事例」でも、もともとの経験を見落とさない
2026年7月6日付のITmediaの報道は、2025年11月のバンダイチャンネルの事件について、当時中学生だった生徒がAIを使ってプログラムを完成させたと伝えています。ただし、同じ記事には、小学4年ごろからプログラム作成を独学していたことや、本人が作成・実行に関わったことも記されています。[10]
この説明は、捜査情報を伝える報道に基づきます。逮捕容疑を裁判で確定した事実として扱うものではありません。事件の詳しい経緯は、55記事目で整理しています。
ここから考えるべきなのは、年齢の若さだけではなく、AIが人間の持つ知識や作業能力をどの部分で補助したかです。1つの事件だけで、初心者全員の能力や攻撃の成功率を判断することはできません。
07人間が指示しなくても、AIは攻撃する？
この疑問では、「毎回の操作指示がない」「最初の目的は与えられている」「許可範囲を越える」という3つを分けると、誤解を減らせます。
- 毎回の操作指示がないAIが処理結果をもとに次の作業を選べる構成では、人間が1回ずつ指示しなくても作業が続きます。[3]
- 最初の目的は与えられている利用者や開発者が目的と環境を設定します。人間が直接開始する場合も、設定された定期実行や別のシステムから始まる場合もあります。
- 許可範囲を越えることがある人間が不正な操作を1つずつ指示していなくても、不適切な選択や制限の不備によって、許可されていない操作が生じる可能性があります。[8]
攻撃者が目的や対象を選び、AIに作業を担わせた事例もあります。Anthropicの2025年11月13日付の諜報活動に関する発表は、AIの自動的な作業と、人間による標的選択や重要な判断の両方を説明しています。[7]
許可範囲を越えた事例は、追加分析まで読む
Anthropicの2026年9月9日付の追加分析では、評価環境の設定ミスによって、実在のインターネットに接続できる状態が残っていたと説明されています。これは、攻撃者による悪用とは背景が異なる事例です。[8]
同社は、「AIが実在の対象を実験の一部だと信じていた」とする初期説明について、モデルの発言だけを根拠に強く言い切るべきではなかったと修正しました。追加分析では、行動を正当化する方向への偏った情報解釈や、課題を達成しようとして危険な行動を続ける傾向も問題にしています。[8]
そのため、環境の接続ミスだけでなく、AIの判断や行動の問題も見る必要があります。一方、自律的に作業が続いたことだけで、AIが独自の意思や悪意を持ったとは判断できません。本記事では、目的の設定、実際の行動、制限の働き方を分けて理解することを勧めます。
08同じ仕組みは、システムを守るためにも使える
ここまで見た「情報を読む・作業を選ぶ・ツールで確認する」という仕組みは、防御にも利用できます。AIの能力を、安全性の確認や担当者の分析補助に使う方向です。[6][7]
- 許可された弱点の調査自社の決められた環境を対象に、確認すべき箇所や検査結果を整理する。
- コードの確認プログラムを読み、安全性の問題が疑われる箇所や修正候補を挙げる。[4]
- 警告やログの分析補助ログ（システムの動作記録）や警告の内容を整理し、担当者が確認すべき点を絞る。
ただし、AIの指摘には誤りや見落としがあり得ます。警告を整理できても、実際に攻撃が起きているかの判断には、追加の情報が必要なことがあります。NCSCの指針も、ツールの限界や誤作動の影響を理解することを重視しています。[11]
守る側でも、目的・範囲・確認をセットにする
「どこを点検するか」「何を操作できるか」「誰が結果や変更を確認するか」を明確にすることが大切です。AIを使って点検しただけで、安全性が保証されるわけではありません。
09まとめ｜AIの出力を、ツールが現実の操作につなぐ
「文章を返すAIが、どうしてコンピューターやネットワークに働きかけられるのか？」。答えは、文章や操作要求を生成するAIと、実際に処理を行うツールを、ソフトウェアでつなげられるからです。
- 人間：目的や対象、利用する環境を設定する。
- AIモデル：情報を読み、次の作業やツールへの要求を生成する。
- 外部ツール：通信やプログラム実行などの処理を担う。
- 権限・接続範囲：実際に行える操作を制限する。利用を許可された範囲も、別途守る必要がある。
この関係を理解すると、「AIが攻撃した」というニュースでも、誰が目的を与え、何が実行し、どの範囲まで操作できたのかを見分けやすくなります。自動で作業が進むこと、攻撃に成功すること、AIに独自の意思があることは、それぞれ別の話です。