AIによる「休まないサイバー攻撃」にどう備える？企業が今見直すべき5つの基本

AIの進化によって、サイバー攻撃の世界も大きく変わろうとしています。最大の特徴であり脅威なのは、攻撃者が「疲れないし、眠らない」ということです。

ChatGPTを開発するOpenAIの幹部も、AIによる「休むことなく執拗に続く攻撃」に備える必要があると警告しています。これは「明日すぐに世界中の企業が攻撃される」という話ではありませんが、攻撃にかかる手間やコストが劇的に下がるため、私たちの守り方も見直す必要があります。

「休まない攻撃」の本当の恐ろしさ

これまでの自動攻撃は、決められたプログラムを繰り返すだけのものでした。しかしAIは、人間のように状況を見て学習します。「この方法で失敗したから、次はあの手でいこう」と、手を変え品を変えて侵入のチャンスを狙ってくるのです。

夜間や休日、あるいはシステムの担当者が変わった直後といった「人間の小さな隙」を、AIは24時間365日、文句も言わずに探し続けます。これが「休まない攻撃」の本質です。

もちろん、AIが魔法のように何でもハッキングできるわけではありません。複雑なパスワードの設定や、システムのこまめな更新といった基本対策は引き続き有効です。

ただし、「一度セキュリティ診断をしたから安心」ではなく、常に監視し、異常があればすぐに封じ込めるという姿勢がより重要になります。

OpenAIは、現在開発中の最新AIについて「人間が気づいていないシステムの弱点を自ら見つけ出し、最初から最後まで一人で攻撃を実行できてしまう可能性」を完全に否定できないとしています。

これはまだ「その可能性がある」という段階ですが、同社自身もこのリスクを重く受け止め、外部と切り離された環境で厳重にテストを行い、危険な行動を監視する仕組みを導入しています。「もしもAIが凄腕のハッカーになったら」という最悪のケースを想定して動いているのです。

最先端の研究所だけでなく、業務でAIを活用する一般企業も、セキュリティの考え方をアップデートする必要があります。特に以下の5点は、基本でありながら非常に重要です。

必要な時だけ「鍵」を渡す（権限の最小化）
いつでも誰でも使える「万能マスターキー」を作らないこと。必要な作業の時だけ、その作業に必要な権限だけを一時的に与えるようにします。
怪しい場所との連絡を絶つ（通信の制限）
AIやシステムが通信できる相手を「あらかじめ許可した安全な場所」だけに限定し、見知らぬ外部への連絡を防ぎます。
最後は必ず人間が「ハンコ」を押す（重要操作の承認）
お金の送金や重要なデータの削除など、取り返しのつかない操作はAIに自動で完結させず、必ず人間が確認して承認する仕組みにします。
「誰が・何を・どうしたか」を監視カメラのように記録する
AIにどんな指示を出したかだけでなく、どのデータにアクセスし、どこでエラーが起きたかなど、すべての行動履歴を一つにまとめて追跡できるようにします。
「緊急停止ボタン」が本当に動くかテストする
マニュアルに「緊急時は停止する」と書いてあるだけでは不十分です。本当にボタン一つでシステムを止められるか、定期的に訓練しておく必要があります。