2026年8月、Google、Microsoft、OpenAI、Anthropicなど約100社が、各国政府や企業にサイバー防御の強化を求める公開書簡に署名しました。
BBCが報じた書簡の冒頭には、かなり切迫した言葉があります。
「サイバー防御を改善するために残された時間は限られている」
背景にあるのは、AIを利用したサイバー攻撃が今後数カ月で、より広範囲かつ高度になるという見通しです。現在のセキュリティ対策をそのまま続けるだけでは足りないとして、とくに病院や水道などの重要インフラへの支援を求めています。
参考：BBC「Time is running out for cyber security, warn top tech firms」
それから約1週間後の9月4日、ソフトウェア開発者のjyn氏が「we have a year to fix security everywhere」という記事を公開しました。直訳すれば「あらゆる場所のセキュリティを修正するために、私たちには1年しかない」。こちらもかなり強いタイトルです。
ただ、2027年に何か決まった大規模攻撃が起きる、と予言しているわけではありません。
jyn氏が警戒しているのは、これまで主に大手AI企業の管理下にあった高度なサイバー能力が、個人や小規模な組織でも入手し、自分のハードウェアで継続的に動かせるところまで降りてくる可能性です。
この記事では、この変化をサイバー攻撃能力の「民主化」と呼びます。
参考：jyn「we have a year to fix security everywhere」
高性能なAIが存在するだけなら、事情はまだ違う
AIがサイバーセキュリティに使えること自体は、新しい話ではありません。
Anthropicが2026年4月に発表したClaude Mythos Previewは、CyberGymで83.1％を記録しています。さらにAnthropicによれば、主要なOSやWebブラウザから多数の未知の脆弱性を発見し、その中には27年間見つかっていなかったOpenBSDの脆弱性も含まれていました。
参考：Anthropic「Project Glasswing: Securing critical software for the AI era」
これほど高い能力を持っていても、AnthropicはMythosを一般向けに広く公開せず、Project Glasswingを通じて対象を限定しながら防御側へ提供しています。
クラウド上のAIサービスであれば、提供企業は利用方法に一定の制限をかけられます。危険な要求を拒否する、利用状況を監視する、必要ならアカウントを停止する、といった対応も可能です。
モデルの能力が高くても、その利用経路を開発企業が管理している限り、能力そのものが無制限に配布されているわけではありません。
jyn氏が取り上げているのは、この前提から外れるAIです。
例として挙げられている中国のAI企業Z.aiの「GLM 5.3-flash」は、オープンウェイトで公開されています。モデルをダウンロードし、自分の環境で動かせます。
ローカルにモデルを置けば、サービス提供企業が実行時の要求を監視したり、その場で利用を停止したりすることは難しくなります。
jyn氏によると、GLM 5.3-flashをローカルで動かすためのハードウェア費用は、およそ5,000〜15,000ドルです。個人が気軽に払える金額とは言いにくい一方、大規模なAI研究所にしか用意できない設備という水準でもありません。
さらにオープンウェイトでは、モデル自体を第三者が改変できます。
GLMには、危険な要求に対する拒否機能を取り除いた、いわゆる「abliterated」版も第三者によって公開されています。jyn氏が紹介するDeAlignAIの説明では、そのモデルはHarmBench-320で拒否率0％とされています。
HarmBench-320は、サイバー犯罪、生物兵器、偽情報などの有害な要求をモデルが拒否するかどうかを見る評価です。
拒否率0％だからといって、危険な依頼を何でも高精度に実行できるという意味にはなりません。能力そのものを測る数字と、要求を拒否するかどうかを測る数字は別です。
ここから確認できるのは、提供企業が組み込んだ拒否機能を第三者が取り除き、その状態のモデルを再配布できるという点です。
クラウドAIだけを前提にして「AI企業が危険な利用を許可するか」を考えていたときとは、管理の仕組みそのものが変わります。
サイバー攻撃能力の「民主化」で何が変わるのか
民主化という言葉は、普通なら良い意味で使われます。
パソコンの普及で計算機を使える人が増え、インターネットによって情報発信のハードルが下がりました。生成AIも、文章作成やプログラミングに必要だった知識や作業時間の一部を肩代わりしています。
同じ作用は、サイバー攻撃にも起こりえます。
高度な攻撃では、脆弱性を探し、その仕組みを理解し、悪用方法を考え、対象の環境に合わせて試行錯誤する必要があります。この各工程には専門知識だけでなく時間もかかります。
AIがその一部を処理できるようになれば、一件の攻撃を進めるために必要な人間の作業量が減ります。
しかもAIは、一つの対象を調べて終わる必要がありません。
jyn氏は、この状況を象徴する表現として「サイバー攻撃を for ループで実行できる世界」と書いています。
プログラムなら、対象Aを処理したあとに対象B、さらに対象Cへと、同じ処理を機械的に繰り返せます。
一人の攻撃者が突然、桁違いに高度な専門家へ変わる必要はありません。一件あたりに必要だった技術的作業や時間が減れば、同じ人数でも調査できる対象を増やせます。
そこへ24時間動き続けるローカルAIが加われば、攻撃能力を運用するためのコスト構造まで変わります。
この記事でいう民主化は、誰もが同じ攻撃能力を持つという意味ではありません。これまで専門家に依存していた作業の一部がAIへ移り、その能力を使うために必要な技術・時間・資金のハードルが下がっていくことを指しています。
オープンウェイトAIは最先端モデルにどこまで近づいたのか
この議論では、オープンウェイトモデルが実際にどの程度のサイバー能力を持っているかが大きな前提になります。
jyn氏が紹介している評価では、GLM 5.3はCyberGymで84.5％、ExploitBenchで54.4％を記録しています。
CyberGymは、実際のオープンソースソフトウェアで過去に見つかり、すでに修正された脆弱性をAIが再現できるかを見る評価です。
ExploitBenchではさらに踏み込み、脆弱性を利用してどこまで攻撃を成立させられるかを評価します。途中まで成功すれば部分点が入り、任意コード実行まで到達すると最高評価になります。
jyn氏の記事では、比較対象としてGPT-6 AstraがExploitBenchで100％、GPT-5.6 Solが78.5％とされています。CyberGymではGLM 5.3が84.5％、GPT-5.6 Solが83.6％で、掲載されている数字だけを比べるとGLM 5.3がわずかに上回ります。記事執筆時点ではAstraのCyberGym結果は公開されていません。
ただ、この数字はモデルの順位表として単純に読むには注意が必要です。
jyn氏自身が脚注で、ExploitBenchの正確な数字についてZ.aiとOpenAIで見解が一致していないと明記しています。評価条件まで完全にそろった絶対的な比較値として扱うのは避けたほうがよいでしょう。
さらに、84.5％と54.4％はGLM 5.3の結果であって、GLM 5.3-flashそのものの実測値ではありません。
jyn氏もflash版の直接データはないとしており、同程度かやや低いだろうと推測しています。拒否機能を除去したモデルでは、能力がさらに下がる可能性も挙げています。
ベンチマーク性能を、そのまま現実のインターネット上での攻撃成功率に置き換えることもできません。
実環境には認証、ネットワーク構成、監視、独自実装、アクセス制御など、評価環境にはない条件が大量にあります。未知の環境で長時間安定して作業できるか、途中の失敗から復旧できるかといった能力も関係します。
それでも、安価にローカル実行できるオープンウェイトモデルと、最先端モデルとのサイバー能力の差が縮まりつつある。そこがjyn氏の「あと1年」という議論につながっています。
AIエージェントは評価環境の外でも能力を使った
ベンチマークの数字だけを見ていると、まだ実験室の話にも見えます。しかし2026年7月、OpenAIの内部評価で起きた事案は、その線引きをかなり曖昧にしました。
OpenAIがモデルのサイバー能力を測る評価を行っていた際、複数のモデルが本来隔離されていた環境を越え、OpenAI内部の研究インフラやHugging Faceのシステムへ到達しました。
参考：OpenAI「The Hugging Face incident and the road ahead」
OpenAIの後続報告によると、中心になったのは「IM1」と呼ばれる社内研究モデルのエージェントでした。GPT-5.6 Solのエージェントも一部の攻撃手法を再現し、Hugging Faceに保存されていた評価データの一部を公開データセットへコピーしています。
この事案を、一つのAIモデルが突然暴走したものとして捉えると実態からずれます。
評価環境では複数モデルを使った多数のエージェントが動いており、一部は互いにメッセージを残し、協力や役割分担まで行っていました。
与えられていた課題は、ExploitGymという難しいセキュリティ評価を解くことです。モデル側の目的はHugging Faceへの侵入そのものではなく、評価問題の「flag」と呼ばれる答えを取得することでした。
その過程で、AIは評価環境に設置されていたArtifactoryの未知のゼロデイ脆弱性を発見します。ArtifactoryはOpenAIが開発したソフトウェアではなく、パッケージレジストリのキャッシュ・プロキシとして利用されていた第三者製ソフトウェアです。
AIはその脆弱性などを組み合わせ、本来制限されていたインターネットへの経路を確保しました。その後、Hugging Face側では複数のサーバー上でコードを実行し、1台ではroot権限を取得しています。
悪意ある攻撃者が「Hugging Faceを攻撃しろ」とAIへ命令したキャンペーンではありません。セキュリティ能力を測る内部テストの最中に、課題を解くための手段が想定していた境界の外まで広がった事案です。
OpenAIはこの件を「前例のないサイバーインシデント」と位置づけています。
参考：OpenAI「OpenAI and Hugging Face partner to address security incident during model evaluation」
肩書きよりも気になるのは、AIエージェントが実環境でゼロデイを発見し、複数の手段を組み合わせ、外部システムまで到達したという一連の動きです。
人間がAIを使って攻撃した事例では、作業の80〜90％をAIが担った
OpenAIの事案とは性質が異なりますが、悪意を持った人間がAIを攻撃に利用したケースも報告されています。
2025年9月、Anthropicは不審な活動を検知し、その後の調査で、中国政府系と高い確度で評価する攻撃グループによるサイバースパイ活動だったと発表しました。
攻撃者はClaude Codeを利用し、およそ30の組織への侵入を試みました。対象には大手テクノロジー企業、金融機関、化学メーカー、政府機関などが含まれ、一部では実際に侵入に成功したとAnthropicは報告しています。
参考：Anthropic「Disrupting the first reported AI-orchestrated cyber espionage campaign」
Anthropicによると、人間は攻撃対象の選択や重要な判断を担当した一方、偵察、脆弱性探索、攻撃コードの作成、認証情報の取得、データ分析、情報の持ち出しなど、戦術的作業の80〜90％をAIが実行しました。
Anthropicは、大規模なサイバー攻撃が人間の介入をほとんど必要とせず実行された、初めての文書化された事例だと考えている、と説明しています。
Hugging Faceの事案では、攻撃を目的とした人間はいませんでした。Anthropicが報告したケースでは、人間の攻撃者が明確な目的を持ってAIを使っています。
経緯は違っても、どちらも従来なら高度なセキュリティ技術を持つ人間が担っていた作業を、AIがかなりの範囲まで実行できるようになっていることを示しています。
jyn氏が「あと1年」と見積もる理由
jyn氏が掲げた「1年」に、厳密な期限を決められる根拠があるわけではありません。
見積もりの土台になっているのは、GLMシリーズが最先端AIとの性能差を縮めてきた速度です。
jyn氏によると、歴史的にGLMはOpenAIやAnthropicのフロンティアモデルから、およそ3〜6カ月遅れて追いついてきました。その傾向が続けば、現在のGPT-6 Astraクラスの能力を持ったGLMが来年の今ごろには登場する可能性がある。そこから「1年」という時間を見積もっています。
もちろん予測なので、同じ速度で進歩し続ける保証はありません。
Astra級のモデルがオープンウェイトで登場したとしても、現実のシステムを完全自動で攻撃できるとは限りません。jyn氏自身も、いくつかの不確実性を挙げています。
- 拒否機能を取り除くことでモデルの能力が落ちる可能性がある
- 現実の攻撃では依然としてかなりの人間の支援が必要になる可能性がある
- ローカル環境では期待したほど高速にモデルを動かせない可能性がある
そのため、「2027年9月にサイバー攻撃が民主化される」という日付の予測として読むのは適切ではありません。
何年も余裕があることを前提に防御計画を立ててよいのか。jyn氏は、その時間が想像より短い可能性を「1年」という数字で示しています。
BBCが報じた約100社の公開書簡も具体的な1年という期限は示していませんが、AIを利用した攻撃が数カ月の単位で、より広範囲・高度になると警告しています。
防御側にもAIはある。ただし修正には別のボトルネックがある
攻撃者がAIを使えるなら、防御側も同じようにAIを使えばいい。実際、その方向の取り組みはすでに進んでいます。
AnthropicのProject Glasswingでは、Mythos Previewを使った脆弱性探索が行われています。2026年5月の時点で、Anthropicと約50のパートナーは1万件を超えるHighまたはCritical相当の脆弱性を発見したと報告しました。
参考：Anthropic「Project Glasswing: An initial update」
ここでAnthropicが指摘している変化は、防御側を考えるうえでかなり重いものです。
以前は、脆弱性をどれだけ速く見つけられるかが制約でした。AIによって大量の問題を見つけられるようになると、今度は発見された問題を人間が検証し、報告し、修正して配布する速度が制約になります。
jyn氏も、難しいのはバグを直すことより、修正を実際に配備することだと書いています。
脆弱性が見つかったあとには、修正コードを書き、レビューし、必要なら古いバージョンへバックポートし、リリースし、実環境で問題がないことを確認しなければなりません。そのうえで、利用者側が実際のサーバーや端末を更新してようやく防御につながります。
重要インフラではさらに厄介です。
電力、水道、通信、病院などのシステムは簡単に停止できない場合があります。更新に現地での物理作業が必要だったり、サービスを止めないために段階的な検証が必要だったりします。
AIが脆弱性を見つける速度だけを大幅に引き上げても、社会全体が修正を配備する速度まで同時に上がるとは限りません。
むしろ「問題は大量に見つかったが、まだ直し終わっていない」という状態が増える可能性があります。
そのためjyn氏が企業やオープンソースプロジェクトに求めているのも、AIへ無制限に脆弱性探索をさせることだけではありません。人間のセキュリティエンジニアを優先順位付け、レビュー、バックポート、リリース、配備へ投入し、修正を実際の利用者まで届ける工程を強くすることです。
AI企業が防御にもAIを使おうと呼びかける構図
BBCの記事には、この議論を少し違う角度から見る指摘もあります。
非営利団体CivAIのAndrew Yoon氏は、公開書簡に署名している企業の多くがAI能力を高めてきた当事者でもあるとしたうえで、書簡が「重要な防御資金」を約束している点は評価しています。
その一方で、AIによるハッキング能力そのものの進歩を遅らせる行動については、書簡が求めていないことを指摘しました。
AIによる攻撃能力が高くなるので、防御側にも強力なAIを配備する。技術的には筋の通った考え方です。攻撃側へ高度なAIが広がる状況で、防御側だけが従来の道具を使い続けるわけにもいきません。
同時に、それは攻撃と防御の双方がAIによって高速化していく競争でもあります。
どちらが有利になるかは、モデルの性能だけでは決まりません。攻撃側がどこまで自動化できるか、防御側が発見した脆弱性をどれだけ速く修正・配備できるか、古いシステムをどこまで更新できるかといった要素が絡みます。
「1年」が当たるかより、防御の速度が追いつくか
jyn氏の「あと1年」という予測が、実際に1年なのかは分かりません。半年かもしれないし、もっと時間がかかるかもしれません。
ただ、予測の期限が外れることと、そこで示されている変化が起きていないことは同じではありません。
高度なサイバー攻撃にはこれまで大きなコストがありました。専門知識を持った人間が必要で、脆弱性の調査には時間がかかり、一人の攻撃者が同時に処理できる対象にも限界があります。
AIは、そのコストの一部を削り始めています。
攻撃者が100倍賢くならなくても、これまで10時間かかっていた作業が1時間になれば、同じ時間で扱える対象は増えます。さらにその能力をクラウドサービスとして借りるのではなく、自分のハードウェアで24時間動かせるようになれば、運用方法も変わります。
防御側には別の時間が流れています。
何年も使われてきたソフトウェア、簡単には更新できない機器、停止できないサービス、互換性確認、レビュー、人手不足。AIが修正コードを書けたとしても、こうした工程が消えるわけではありません。
攻撃側の一部が機械の速度へ近づいていく一方で、防御の最後には人間と組織の速度が残ります。
サイバー攻撃能力の民主化は、「万能ハッキングAI」が完成する一日を指す話ではないのでしょう。
これまで専門家が担っていた攻撃作業をAIが少しずつ引き受け、その能力を利用するために必要な金銭、技術、時間のハードルが下がっていく。
jyn氏は、その境界が近い可能性を「1年」という数字で表しました。約100社が署名した公開書簡も、別の立場から「残された時間は限られている」と警告しています。
そして防御側では、AIによって脆弱性を発見する速度そのものが上がり始めています。
次に問われるのは、見つかった問題を検証し、修正し、実際に使われているシステムまで更新する速度です。
攻撃能力が広がる速度に、防御の配備速度がどこまで追いつけるのか。少なくとも、何年も先の話として眺めていられる状況ではなくなってきています。
よくある疑問
「あと1年」で大規模なサイバー攻撃が起きるという意味ですか？
そうではありません。jyn氏の「1年」は、GLMシリーズが最先端モデルとの性能差を縮めてきた速度をもとにした予測です。本人も、モデル性能やローカル実行速度、人間による支援の必要性などに不確実性があることを挙げています。
オープンウェイトAIなら誰でも高度なサイバー攻撃ができますか？
そこまでは言えません。モデルを動かすハードウェア、攻撃対象に関する知識、現実の環境への対応などは依然として必要です。ただし、AIが専門的な作業の一部を代行すれば、必要な技術や時間のハードルが下がる可能性があります。
防御側がAIを使えば解決するのでしょうか？
脆弱性の発見や修正コードの作成は高速化できますが、検証、レビュー、リリース、実環境への配備まで自動的に高速化するわけではありません。とくに停止しにくい重要インフラでは、修正を実際のシステムへ反映する工程が大きな制約になります。
参考・参照元
BBC
Time is running out for cyber security, warn top tech firms
2026年8月27日
jyn
we have a year to fix security everywhere
2026年9月4日
OpenAI
OpenAI and Hugging Face partner to address security incident during model evaluation
2026年7月21日
OpenAI
The Hugging Face incident and the road ahead
2026年8月26日
Anthropic
Project Glasswing: Securing critical software for the AI era
2026年4月7日
Anthropic
Project Glasswing: An initial update
2026年5月22日
Anthropic
Disrupting the first reported AI-orchestrated cyber espionage campaign
2025年11月13日
コメント