AIエージェントが実際に自律攻撃を実行——スペイン当局が初の被害通知、Ciscoはバグバウンティ悪用ログを公開

自律型AIエージェントによるサイバー攻撃が、統計や予測の段階から「実例」の段階へと移行しつつある。スペインのデータ保護当局AEPD（Agencia Española de Protección de Datos）は2026年9月14日、AIエージェントを用いた攻撃による個人データ侵害について、同庁として初めて通知を受領したと公表した。これと並行して、Ciscoは実際のバグバウンティ環境でAIエージェントが自律的に脆弱性を発見・悪用した詳細なログを公開しており、両者を突き合わせると自律攻撃の輪郭がより鮮明になる。

スペインAEPDが受領した初の被害通知

AEPDが公表した事案では、既知の大規模言語モデルを利用したAIエージェントが、対象システムの脆弱性を自律的に探索し、ログインに成功したうえで個人データを改ざんし、請求書情報にまでアクセスしたとされる。同庁の発表によれば、これは人間の直接操作を介さず、AIエージェントが目標分解からツール操作までを一貫して実行した攻撃として当局が正式に認定した初のケースであり、欧州の個人データ保護規制の運用にも新たな論点を投げかけている。

Ciscoが観測したバグバウンティ悪用ログ

Ciscoが公開した分析では、実際のバグバウンティ環境でAIエージェントが1,300人分のユーザー情報とTONウォレットの取引記録が格納されたデータベースを自律的にダンプし、さらにTelegramボットのトークンを抽出したうえで、実際の引き出し取引まで仕掛けた事例が報告されている。同社のブログは、AIエージェントが人間の攻撃者を励ますような自己対話ログを残しながら攻撃を進行させていたとも指摘しており、Agentic AIが単なる自動化ツールではなく、試行錯誤を繰り返す自律的な攻撃主体として機能し始めていることを示している。

侵害コストと攻撃速度の非対称性

Trend Microが引用するIBMの調査によれば、AI・自動化を本格的に活用する組織の平均侵害コストは362万ドルにとどまる一方、活用していない組織は552万ドルに達し、その差は190万ドルにのぼる。さらに同社の報告では、初期侵入から社内システムへの横展開までの最速記録がわずか27秒とされており、従来のように人間のアナリストが検知し判断してから対応する体制では、攻撃の進行速度に追いつけない現実が浮き彫りになっている。

MCPサーバーへの攻撃急増と優先順位付けの課題

KDDI総合研究所の分析では、AIとツールやデータを接続する標準プロトコルであるMCPサーバーを狙った攻撃が急増しているという。同研究所の指摘によれば、数千件規模で候補が見つかる脆弱性のうち、どれを優先的に修正すべきかの判断が現場の大きな課題となっており、AIオーケストレーションを担う基盤自体が攻撃対象になりつつある構図が見えてきた。

防御側の対応——NECの仮想パッチ自動生成

こうした状況を受け、NECは2026年9月2日、cotomi Security for Industryと呼ばれる新技術を発表した。同社の発表によれば、未公開の脆弱性についてCISAのBOD26-04基準に基づき「3日以内」「14日以内」といった対応期限で優先順位付けを行い、仮想パッチを自動生成する仕組みを9月末から提供開始するとしている。人間の判断を待たずにパッチ適用の初動を自動化する試みであり、27秒という攻撃速度に対抗するための現実的な防御策の一つといえる。