サイバー攻撃者はAIを使うだけではない 企業のAI資産自体を狙い始めている

脅威アクターによるAIの活用が高度化する一方で、AI関連資産を狙った犯行も増えている。攻撃対象は、政府、軍、医療、製薬、メディア・エンターテインメントなどに広がっているという。

[三木泉，＠IT]

　AIは、サイバー攻撃者にとって強力な武器になっただけではない。攻撃の標的にもなりつつある。

　Google脅威分析グループ（Google Threat Intelligence Group：GTIG）は2026年9月8日（米国時間）、2026年第2四半期におけるAI脅威レポートを公開した。このレポートは、脅威アクターによるAI利用のさらなる高度化に触れる一方、LLM（大規模言語モデル）やAI関連資産を標的とした攻撃の増加を報告している。

AIが「盗む価値のある資産」になった

　なぜ攻撃者はAIを狙うのか。組織がAIへの蓄積を進める知的財産の価値が高まっているためだ。

　GTIGによると、企業が独自にトレーニングしたAIモデルや、AIに関する研究情報、ソースコード、プロンプト、スキルなどの窃取を狙った事例が2026年第2四半期に増加した。

　攻撃対象は、政府、軍、医療、製薬、メディア・エンターテインメントなど幅広い業界に広がっている。AI関連の知的財産を狙うのはスパイグループだけではなく、窃取データを人質にとって恐喝する、金銭目的のグループも確認されている。

　例えば、ある医療分野の組織への侵入では、企業データや医薬品研究情報に加え、AIリサーチデータや独自AIモデルが窃取された。攻撃者はデータを公開すると脅し、身代金を要求した。

　また、AIメディア生成企業への攻撃では、ソースコード、プロンプト、スキル、モデルスクリプト、秘密情報など、AIシステムを構成する複数の資産がまとめて持ち出され、恐喝に利用された。

　AIを開発・運用する過程で蓄積された情報やコード、ノウハウまで含めて、AI関連資産全体が標的になっている。

蒸留でモデルの能力をコピーする行為も

　AI資産を窃取する高度な手法の一つがモデルの蒸留だ。

　これは、対象となるAIモデルに大量の問い合わせを行い、その応答を利用して、既存モデルの能力やロジックを別のモデルに再現する技術。

　GTIGによれば、GoogleのLLMを標的とするモデル蒸留攻撃は、2026年に入って規模と高度さの双方で拡大している。ある攻撃では、1億回を超えるプロンプトが使われた。

　攻撃者はプロキシインフラを利用し、数千の認証情報や不正アカウントを使って問い合わせを分散させることで、攻撃元を隠しながら大量のクエリを送っている。

AIアシスタントに攻撃を指示

　AI関連資産やその他のデータに近づくための攻撃手法も多様化している。GTIGは、攻撃グループTeamPCPの事例として、AI特有の攻撃手法を紹介している。

　同グループのマルウェア「DUSTMAKER」は、AIコーディングアシスタントやIDEが利用するプロジェクトディレクトリに悪意のあるファイルを隠す機能を持つ。

　そこに悪意のある設定ファイルを置き、AIアシスタントに任意のコマンドやスクリプトを実行させる。つまり、開発者が直接コードを実行するのではなく、AIアシスタントを介して攻撃者の指示を実行させることを狙っている。

　さらにDUSTMAKERには、LLMを利用したセキュリティスキャナーを狙うプロンプトインジェクション機能も組み込まれていた。悪意のあるJavaScriptコードのコメント部分に、LLMの安全機能を発動させるような極端なプロンプトを埋め込み、スキャナーによるコード解析を妨害しようとしたとGTIGは分析している。