情報漏えいが続くなか、AIがソフトの「穴」を見つける時代にやるべきこと —— Claude Mythos・GLM-5.3と私たちの対策

「漏えいのお知らせ」が届いたら

受信トレイに届いたメール（イメージ）

配達に使っているカーシェアのサービスから「不正アクセスで会員情報が漏れました」というお知らせが届き、続けて「おわびの補償金の受け取りはこちらのリンクから」というメールが来たとします（架空の例）。このリンクは押してはいけません。漏えいのあとには、それに便乗した偽のメールが届くことがあるからです。[s11][s12]

実際に漏えいを発表した会社も、「当社がメール、SMS、電話等でパスワードやクレジットカード情報をお伺いすることはありません」と呼びかけています。[s12][s14]

そもそも情報が漏れるのは、ソフトの「穴」を突かれたり、盗まれたパスワードで入られたりするためです。[s9]しかもいま、その穴を見つけるAIの力が急に上がっています。[s1][s5]この力は守る側にも攻める側にも使えるという点が、重要なポイントです。[s7]

9月下旬から続いた漏えいの発表

2026年9月下旬からの主な発表

まず、9月下旬からの国内の主なニュースを整理します。9月25日、カーシェアのタイムズカーが不正アクセスを受けました。[s12]

タイムズカーの発表

会社の発表によると、漏れたのは約660万件のアカウントの情報で、そのうち約160万件は、免許証の画像などの本人確認書類でした。[s13][s14]翌日にはオズモールで最大約45万人分のメールアドレスなどが見られた可能性が公表され、同じ日に京王グループがランサムウェア（データを使えなくして身代金を求める攻撃）を受けて、お店の決済や予約が止まりました。[s19][s20]東京メトロでも、ポイント会員のメールアドレス約5万9千件が見られた可能性があると発表されています。[s15]

これらの原因は、ほとんどがまだ調査中で、AIが使われたかどうかはどの会社も発表していません。[s13][s20]決めつけずに、会社の発表を待つことが大切です。

Qメールアドレスくらいなら、漏れても平気？

漏れると何が困るか

そうとは限りません。漏れたものによって、悪用のされ方が違います。メールアドレスは本物そっくりの偽メールの宛先に使われ、パスワードを使い回していれば、ほかのサービスにも入られます。[s11]免許証の画像は、本人のふりをした契約に使われるおそれがあります。[s16][s21]しかも、盗まれた情報は犯罪者の間で共有され、売り買いされるため、一度漏れたら消すことはできません。[s11]

ソフトの「穴」とは何か

システムへの入られ方

攻撃者が会社のシステムに入る方法は、大きく3つあります。ソフトの作りのミスでできた「穴」を突く方法、どこかで盗んだパスワードで本人のふりをして入る方法、そして仕事を任せている別の会社（委託先）から入る方法です。委託先などを狙う攻撃は、IPAの「情報セキュリティ10大脅威」で2位に挙げられています。[s9][s11]

穴をたとえると

1つ目の「穴」は「脆弱性」とも呼ばれます。お店にたとえると、裏口の鍵が壊れているのに、お店の人が気づいていない状態です。ソフトの穴も、作った人が気づいていないことが多いのです。

穴の2つの状態

穴には大きく2つの状態があります。作った人もまだ知らない穴は「ゼロデイ」と呼ばれ、直すための時間がゼロという意味です。[s1]もう1つは、直し方が公開されているのに、まだ更新されていない穴です。Anthropicは、実際の被害の多くは後者から起きていると述べています。[s2]

AIが「穴」を見つける仕組み

これまでの穴の探し方

これまでの穴の探し方は、2つが中心でした。専門家がコードを読んで考える方法は、腕の良い人が少なく、時間とお金がかかります。[s1]もう1つは、でたらめな入力を大量に入れて、ソフトが壊れるかを見る自動テストです。[s2]

AIの穴探し

最新のAIは、この2つの良いところを組み合わせます。人のようにコードを読んで怪しい所に見当をつけ、実際に動かして本当にエラーが起きるかを確かめ、結果を報告にまとめます。[s2][s3][s5]

Claude Mythos Previewが見つけた穴の例

その代表が、Anthropicの「Claude Mythos Preview」です。悪用を防ぐ仕組みが整うまで一般には公開しないと決めたAIで、会社の発表によると、主なOSとWebブラウザのすべてで、作った人も知らなかった穴を見つけました。[s1][s2]守りが固いことで知られるOSに27年前からあった穴や、動画の部品に16年前からあった穴も見つけています。16年前の穴は、自動テストの道具がその場所を500万回通っても見つけられなかったものです。[s1]でたらめに試すだけでは届かない場所でも、意味を考えて読むことで気づけたのです。

Project Glasswingの最初の報告

AnthropicがAWSやAppleなどと始めた取り組み「Project Glasswing」では、参加した約50の組織で、1か月の間に重大・高の穴が1万件以上見つかりました。外部の専門会社などが確かめた1,752件のうち、90.6%が本物の穴で、10件のうち9件は本物だった計算です。[s3]

中国のAI「GLM-5.3」も追いついてきた

穴を見つけて確かめるテスト（CyberGym）

こうしたAIは1社だけではありません。8月には、中国のZ.aiが「GLM-5.3」を発表しました。[s5]穴を見つけて確かめるテスト（CyberGym）では、Claudeとほぼ同じ点数を出しています。[s5][s6]

このテストは、本物のソフトの穴を使った1,507問で、穴を見つけ、実際に起きると確かめられた割合を測ります。GLM-5.3の84.5%は、100問のうち約85問で成功したという意味です。[s5][s6]

攻撃の手順まで組み立てるテスト

一方、攻撃の手順まで組み立てるテスト（ExploitBench）では、GLM-5.3は54.4%で、Claudeの78.0%とはまだ差があります。それでも1つ前のGLMの2倍以上で、伸び方は非常に速いと言えます。[s5]

GLM-5.3が見つけた穴

Z.aiによると、実際のソフトでも269のプロジェクトで2,436件の穴を見つけ、見つかるまでの平均は26.6年でした。長い間、誰も気づかなかった穴です。[s5]ただし、いずれも会社の発表で、ほとんどはまだ中身が公開されていません。直る前に中身を明かすと悪用されてしまうからです。[s2][s5]

同じAIを誰でも使える

GLM-5.3は、AIの中身である「重み」が公開されており、誰でもダウンロードして自分のコンピューターで動かせます。[s6]研究や守りに使いやすい反面、悪いことに使いたい人も同じように使えてしまいます。[s7]そのためZ.aiも、重みの公開を発表から2週間遅らせて、安全を確かめました。[s5]

穴を見つける力の強いAIの公開のしかた

公開のしかたは会社ごとに異なります。Anthropicは、確かめた防御側だけに強い機能を開く仕組みを10月6日に3段階へ広げ、OpenAIも、本人確認をした専門家に使わせる仕組みを持っています。[s4][s7]一方のGLM-5.3は中身ごと公開しており、誰でも使えるぶん、使い方を見張ることはできません。[s6]

見つかるのは速いのに、直すのが追いつかない

穴が見つかってから守られるまで

いずれ守る側が有利になると期待されますが、いまは難しい時期にあります。[s2]穴が見つかってから利用者が守られるまでには、見つかる、直す（修正を作る）、みんなが更新する、という3つの段階があり、AIで一気に速くなったのは最初の「見つかる」だけです。[s3]

作者に知らせた穴と、直った穴

Anthropicが重大・高として作者に知らせたオープンソースの穴は約530件でしたが、直ったのは75件でした。直すのは人の手で、1件に平均2週間かかるそうです。作者から「知らせるペースを落としてほしい」と頼まれたこともあったといいます。[s3]さらに、修正が出ても、みんなが更新するまでには時間がかかります。そのすき間を狙うのが攻撃する側です。[s2][s8]

国家サイバー統括室なども5月に、AIが攻撃に使われると、脆弱性の発見から悪用までの時間が極めて短くなると注意を呼びかけました。[s8]これまで腕のいい専門家が数日から数週間かけていた作業を、最新のAIは、より速く安く、人の手をかけずにできてしまうからです。[s2]

穴を探してよい相手

なお、許可なく他人のシステムで穴を試すことは、不正アクセスになり得ます。法律は、他人のIDとパスワードを勝手に使うことに加えて、穴を突いて制限を外すことも「不正アクセス行為」として禁じています。[s18]AIの会社も、攻撃のテストは許可されたシステムだけと決めています。[s4]穴を探してよいのは、自分のサイトやコードか、許可をもらった相手だけです。

AIそのものから漏れるリスク

AIから漏れる2つの道

AIを使うこと自体から、情報が漏れることもあります。IPAの「情報セキュリティ10大脅威 2026」では、AIの利用をめぐるリスクが初めて3位に入りました。[s9]漏れる道は大きく2つで、1つは、会社が許可していないAIに仕事の資料を貼ってしまうことです。米国の会社の調査では、生成AIにデータを貼っている人が77%いました。もう1つは、AIが読んだメールの中に、隠れた指示が入っていることです。[s10]

隠れた指示の例（イメージ）

2025年に見つかったMicrosoft 365 Copilotの脆弱性「EchoLeak」がその例です。メールに隠された指示によって、利用者が何も操作しなくても、AIに許していた社内の秘密のデータが外へ送られるおそれがありました（いまは修正済み）。[s10]AIは、読んだ文章の中の指示と、本物の指示を見分けにくいのです。IPAも、完璧な対策はまだないと書いています。[s10]

今日からやること

個人がやること

やることを立場ごとに見ていきます。まず個人では、いちばん大事なのが、スマホやパソコン、アプリのアップデートを自動にすることです。直し方が出ても、更新しなければ壊れた鍵のままだからです。[s2][s3]次に、パスワードの使い回しをやめ、多要素認証やパスキーを使います。パスキーは指紋や顔などで入る方法で、盗まれるパスワードがありません。[s11]

お知らせが来たら、メールのリンクは押さず、公式のアプリやサイトから確かめましょう。[s12][s15]使わないサービスは退会し、登録は必要な項目だけにしておくことも大切です。[s11]

漏えいのお知らせが届いた場合（イメージ）

冒頭の例なら、まずメールのリンクではなく公式サイトで、自分が対象か、何が漏れたかを確かめます。[s12]公式の発表に補償金の案内がなければ、あのメールは偽物です。同じパスワードをほかでも使っていたら、そちらも変えます。カードの明細やログインの履歴も、ときどき確かめましょう。[s11][s21]

免許証の画像が漏れた場合は、信用情報機関に「本人申告」をすることもできます。お金を借りる審査のときに、慎重に確認してもらうための仕組みです。ただし、悪用を必ず防げるわけではありません。[s16]

お店や会社がやること

お店や会社では、国の注意喚起も、まず基本が大事だとしています。修正が出たら、大事なものから順番にすぐ当てること、多要素認証とログで、入られても早く気づけるようにすること、そして仕事を任せている会社の守りも確かめることです。[s3][s8][s9]さらに、自分のコードは、攻撃する人より先にAIで点検しましょう。いま公開されているAIでも、多くの穴は見つけられるそうです。[s2][s8]

AIを使うときの3つの注意

AIを使うときは、社内の秘密は会社が許可したAIにだけ入れ、安易に貼らないこと、入力を学習に使わせない設定を確かめること、AIにメールやファイルを任せるなら渡す権限は必要な分だけにすること、の3つを守りましょう。[s8][s10]

まとめ

漏えいのあとは、偽のメールに注意し、お知らせは公式のサイトやアプリから確かめましょう。[s11][s12]AIによって、ソフトの穴が見つかる速さは大きく上がりました。その力は守る側にも、攻める側にも使えます。[s2][s5]

見つかる速さに直す速さが追いつかないいま、利用者と運営者にできるのは、アップデートをすぐに入れ、パスワードを使い回さず、AIに渡す情報と権限を必要な分だけにすることです。[s8][s10][s11]