AIが脆弱性を探す時代に何が変わる？ IPA白書2026が示す「防御」の転換点：「もろ刃の進化」にどう備えるか

AIが脆弱性を探し、攻撃にも防御にも使われる時代、企業が取るべき具体的な道筋は何か。IPAは「情報セキュリティ白書2026」を公開し、サイバーセキュリティの現状を整理した。本稿は全208ページの中から押さえておきたいポイントをまとめた。

[＠IT]

　独立行政法人情報処理推進機構（以下、IPA）は2026年9月30日、「情報セキュリティ白書2026 サイバー防御新時代：諸刃の進化に備えよ」（以下、情報セキュリティ白書）のPDF版を公開した。

　AIの急速な進化や能動的サイバー防御、サプライチェーン対策など、守る側の前提そのものを揺さぶる動きが加速している。現状を踏まえて、同書は「現場は何を見直すべきか」を208ページの一冊に凝縮して示している。

AIの進化はサイバー防御をどう変える？　IPA白書2026の注目点

　情報セキュリティ白書の書籍版は2026年10月19日に刊行予定で、PDF版は先行公開となる。白書は2008年から毎年刊行されており、国内外のサイバー脅威やインシデント、政策・制度、調査、支援施策などを幅広く取り上げている。

　今回の白書で目を引くのが、AIを巡る安全確保だ。

　2025年12月に閣議決定された「サイバーセキュリティ戦略」では、AIの進展と普及がサイバーセキュリティに大きな影響を与えると位置付け、「AIに係る安全性確保」「AIを悪用したサイバー攻撃への対処」「AIを活用したサイバーセキュリティ確保」の3つの観点から取り組みを整理している。

　その背景にあるのが、高性能AIの急速な進化だ。白書では、2026年4月にAnthropicが公開した「Claude Mythos Preview」を契機とした動きを取り上げている。同モデルをはじめとしたフロンティアAIでは、脆弱（ぜいじゃく）性の発見や修正といったサイバーセキュリティ関連の能力が向上しており、悪用されれば攻撃のスピードや規模が拡大する可能性がある。

　変化を踏まえ、政府は2026年5月にサイバーセキュリティ対策パッケージ「Project YATA-Shield」を取りまとめた。重要インフラ事業者や政府機関への対応に加え、脆弱性の発見・修正への対応、高性能AIを活用したサイバー対処能力の強化などを進める。

　こうした動きから、AIは「攻撃に使われる新たな道具」としてだけでなく、脆弱性を見つけ、修正し、防御するための能力そのものを変える存在になりつつある。白書のタイトルにある「諸刃の進化」は、こうした変化を指すものだろう。

「自社だけ守る」からサプライチェーン全体へ

　もう一つの大きなテーマが、サプライチェーンを巡る脅威と対策だ。

　白書では、ランサムウェア攻撃や標的型攻撃などがAIの悪用を含めて高度化し、国内外の広範なサプライチェーンに被害を及ぼしていると整理する。同書によると、自社単体ではなく、サプライチェーン全体で事業継続を図る必要性が高まっているという。

　その対策として、中小企業のセキュリティ対策水準を高める「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」や、「サイバーセキュリティお助け隊サービス（新類型）」の制度構築も取り上げている。

　さらに白書では、能動的サイバー防御を巡る国内の動きも扱っている。2024年11月の提言を踏まえ、2025年5月にはサイバー対処能力強化法と同整備法が成立、公布された。これに伴い、官民連携の強化、通信情報の利用、攻撃サーバの無害化などに向けた環境・体制整備が進んでいる。

　白書は、こうした2025年度の情報セキュリティ概況を序章にまとめた上で、第1章で国内外のサイバー脅威、第2章でサイバー安全保障、AIの安全性確保、偽・誤情報対策、第3章で国内政策、人材育成、評価・認証制度、暗号技術、中小企業支援、第4章で国際政策と国際標準化を扱っている。

　セキュリティ担当者にとって重要なのは、個々の制度や脅威を追うことだけではない。AIによって攻撃側の能力が変化する一方、防御側もAIを使って対処能力を高めようとしていること、自社の境界だけでは完結しないリスクが増えていることを理解する必要があるだろう。

　今回の白書は、こうした変化を国内外の政策や脅威動向と合わせて俯瞰（ふかん）できる資料になっている。