2026年2月、Googleの脅威分析グループ（GTIG）が発表した最新の年次報告書「GTIG AI Threat Tracker」は、サイバーセキュリティの歴史における明確な転換点を提示した。かつて「AIを使った攻撃」は理論上の脅威、あるいは限定的な実験の域を出なかったが、現在、国家主導のハッカー集団（APT）は、AIを攻撃サイクルのあらゆる段階に組み込み、その破壊力と効率性を劇的に向上させている。
特筆すべきは、モデルそのものを「盗む」手法である「蒸留攻撃（Distillation Attacks）」の台頭だ。この報告書は単なる注意喚起ではない。それは、AIモデルという知財の「城壁」が、APIという正規の窓口を通じて組織的に解体されつつあるという、深刻な警鐘である。
姿を変えた知的財産窃盗：モデル抽出と「蒸留攻撃」の正体
サイバー攻撃といえば、かつてはシステムの脆弱性を突き、機密ファイルを盗み出すことが主目的だった。しかし、AI時代の知的財産（IP）窃盗は、より巧妙で目に見えにくい形をとる。それが、今回のレポートで最も警戒されている「モデル抽出攻撃（MEA）」、通称「蒸留攻撃」だ。
「教師」から「生徒」へ：ロジックのクローニング
蒸留攻撃とは、ターゲットとなる高度なAIモデル（教師モデル）に対し、大量かつ体系的なプロンプトを送信し、その応答を収集することで、自らの安価なモデル（生徒モデル）に「教師」の思考プロセスや推論能力を学習させる手法を指す。
2025年後半、Googleは自社の最先端モデル「Gemini」に対する大規模な蒸留攻撃を検知し、阻止した。あるキャンペーンでは、100,000件以上ものプロンプトが投じられ、Geminiの高度な推論能力を、英語以外の特定のターゲット言語で再現しようとする試みが確認されている。
この手法の恐ろしさは、ハッキングによるデータ流出を必要としない点にある。攻撃者は「正規のAPI利用者」として振る舞い、対価を支払ってモデルと対話する。しかし、その裏では、数千億円の開発費と数兆のパラメータを持つモデルの「エッセンス」を、わずかなコストで抽出しているのだ。これは、Google Cloudの最高分析責任者であるJohn Hultquist氏が指摘するように、AIサービスというビジネスモデルの根幹を揺るがす死活的な問題である。
推論トレースの強制的な引き出し
特に標的となっているのが、Geminiが持つ「Chain-of-Thought（思考の連鎖）」、すなわち推論の過程だ。攻撃者はGeminiに対し、「思考内容は入力言語と厳密に一致させなければならない」といった制約を課すことで、通常はユーザーに開示されない内部の思考プロセスを無理やり出力させようとする。
こうした試みは、中国のDeepSeekといった競合企業や、各国の民間調査機関、そして国家を背後に持つリサーチグループによって、世界規模で実行されている。OpenAIもまた、中国のAI企業がChatGPTの出力を利用して自社モデルを訓練しているとして、米下院特別委員会に同様の懸念を報告している。
国家主導ハッカーによるAI兵器化の実態
GTIGの報告書は、中国（PRC）、北朝鮮（DPRK）、イラン、ロシアといった国家が、いかに戦略的にAIを運用しているかを詳細に描き出している。もはやAIは補助的なツールではなく、攻撃のインフラそのものとなりつつある。
中国：脆弱性分析の自動化と効率化
中国を拠点とするAPT31やUNC795といった集団は、AIを「サイバーセキュリティの専門家」として扱い、複雑なタスクの自動化を図っている。
- 脆弱性分析の自動化: APT31は、Geminiに「エキスパート・セキュリティ・リサーチャー」というペルソナを与え、リモートコード実行（RCE）やWebアプリケーションファイアウォール（WAF）のバイパス手法を分析させていた。
- コードの監査とデバッグ: UNC795は、侵入活動に必要なツール開発において、週に数回Geminiを利用してコードのトラブルシューティングや研究を行っていた。Geminiのセーフティシステムがこれを拒絶しても、彼らはシナリオを捏造してガードレールを回避しようとする執拗さを見せている。
北朝鮮：高精度な「リクルーター」の偽装
北朝鮮のUNC2970は、伝統的に防衛産業をターゲットとしたスピアフィッシングを得意としてきた。彼らは現在、AIを用いてその「精度」を異次元のレベルに引き上げている。
彼らはGeminiを利用して、オープンソース・インテリジェンス（OSINT）を合成し、標的となる企業の構造や、特定の技術職の給与体系、役割の詳細をプロファイリングする。これにより、実在の採用担当者を装った、文化的な違和感が全くない完璧なフィッシングメールを作成することが可能になった。かつての「不自然な日本語」や「文法のミス」というフィッシングの識別子は、AIによって消し去られようとしている。
イラン：多段階の「信頼構築型」フィッシング
イラン政府の支援を受けるAPT42は、AIを用いてターゲットとの間に偽りの信頼関係を築く「ラポール形成（信頼構築）」のフェーズを強化している。ターゲットの経歴をAIに読み込ませ、最適な接触シナリオを生成させることで、攻撃者は長期間にわたる自然な会話を維持し、最終的なマルウェアの実行へと誘導する。
2026年の新種：AIネイティブ・マルウェアの脅威
GTIGが2025年後半に確認した新たなマルウェアファミリーは、AIがもはや「開発を助けるツール」ではなく、「実行時に機能を提供するモジュール」として組み込まれていることを示している。
ファイルレス攻撃を加速させる「HONESTCUE」
2025年9月に観測された「HONESTCUE」は、極めて野心的な試みだ。このマルウェアは、Gemini APIをコマンド＆コントロール（C2）の一部として利用する。
- プロンプト送信: 感染したシステム上で、マルウェアがGemini APIに対して「特定の機能を持つC#コードを書け」というプロンプトを送信する。
- 動的コンパイル: 返ってきたソースコードを、ディスクに保存することなくメモリ上で直接コンパイルし、実行する。
- 検知回避: ペイロード（攻撃の本体）がネットワーク上に流れることも、ハードディスクに残ることもないため、従来の静的解析やネットワーク監視では検知が極めて困難になる。
AI生成フィッシングキット「COINBAIT」
一方で、金銭目的の攻撃グループUNC5356に関連すると見られる「COINBAIT」は、AIによる開発コストの劇的な低下を象徴している。
このフィッシングキットは、大手仮想通貨取引所を精巧に模倣したシングルページアプリケーション（SPA）だが、その開発にはAI搭載のローコードプラットフォーム「Lovable AI」が使用されていた形跡がある。AIが生成したコード特有のデバッグログや、特有の命名規則が残されていたことが証拠となった。
地下マーケットの変容：APIキーの強奪と「偽AI」
ダークウェブ上のフォーラムでは、独自のAIモデルを構築できない中低位のハッカー向けに、商用AIのAPIを「脱獄（Jailbreak）」した状態で提供するサービスが乱立している。
例えば「Xanthorox」と称されるツールは、プライバシーが保護された独自の攻撃用AIを謳っていたが、実態はGeminiなどの商用モデルをオープンソースのプロトコル（MCP）を介して転売しているに過ぎなかった。
このようなサービスの裏側では、脆弱なオープンソースAIツールを悪用して盗み出された企業用のAPIキーが、大量に流通している。企業のクラウド資源が、知らぬ間に国家主導のサイバー攻撃のインフラとして「相乗り」されているリスクは、もはや無視できない。
Googleの反撃：防御側のAI「Big Sleep」と「CodeMender」
攻撃者がAIを使うのであれば、防御側もAIを限界まで活用しなければならない。Googleは、AIを安全に構築するためのフレームワーク「SAIF」を推進するとともに、自律的に脅威を封じ込めるエージェントを実戦投入している。
- Big Sleep (Google DeepMind × Project Zero): AIがソフトウェアの未知の脆弱性（ゼロデイ）を自律的に探索し、発見するプロジェクト。すでに実世界での脆弱性発見に成功しており、攻撃者が悪用する前にパッチを当てるサイクルを高速化させている。
- CodeMender: 発見された脆弱性に対し、Geminiの推論能力を用いて自動的に修正パッチを生成・適用するAIエージェント。
AIによるサイバー戦の危険性
GTIGの報告が示唆する未来は、「エージェント型脅威」の日常化だ。人間がプロンプトを入力する段階から、AIが自律的にターゲットを定め、ツールを開発し、対話を行い、状況に応じてコードを書き換えながら侵入を試みる。
我々ユーザーや企業が取るべき対策は、もはや「不審なメールに注意する」といった精神論では足りない。
- APIの管理強化: AIサービスの利用状況を監視し、異常なクエリパターン（抽出攻撃の兆候）を検知するメカニズムを導入すること。
- 多要素認証（MFA）の絶対化: AIによるソーシャルエンジニアリングが完璧になる以上、「人間が騙されること」を前提とした防御設計が必要だ。
- AIサプライチェーンのリスク理解: 自社で使用しているオープンソースのAIツールが、APIキーを露出させる脆弱性を持っていないか、徹底的な精査が求められる。
AIは、攻撃者にとっての「生産性の革命」をもたらした。しかし、同時に防御側にとっても、これまで不可能だった速度での脆弱性修正や脅威検知を可能にする。2026年、私たちはAIという強力な力を、どちらがより賢明に、そして迅速に制御できるかという、究極の知恵比べの時代に突入したのだ。
Sources
