生成AIで攻撃の準備時間が「2日から25分」に短縮——企業セキュリティの前提はもう変わっている

「速さ」ではなく「参入障壁の消滅」が本当の問題だ

サイバー攻撃が「速くなった」という話は以前からある。しかし、パロアルトネットワークスのチーフサイバーセキュリティストラテジスト・染谷征良氏がソフトバンクの年次イベント「SoftBank World 2026」で示した変化は、単なるスピードアップではない。生成AIの普及が攻撃者側の「準備コスト」を劇的に下げた結果、これまで高度な技術を持つ攻撃者にしかできなかった行為が、より広い層に解放されつつあるという構造的な転換だ。その象徴が「2日かかっていた攻撃の準備が25分に短縮された」という数字である。

パロアルトが示した、生成AI時代のサイバー攻撃の実態

染谷氏の講演によると、生成AIを活用することで、攻撃者がターゲットの調査や攻撃コードの作成にかかる時間が大幅に圧縮されている。従来であれば2日程度を要していた攻撃準備のプロセスが、生成AIを使うと25分程度に短縮されるという。

これが意味するのは、防御側にとっての「猶予時間」が事実上なくなりつつあることだ。これまでの企業セキュリティは、攻撃の兆候を検知してから対応策を講じるまでの時間を前提に設計されてきた部分がある。しかし攻撃の準備サイクルが数十分単位になると、そのバッファは機能しにくくなる。

また、攻撃の「質」も変化している。生成AIは攻撃者が標的に合わせたフィッシングメールの文面を精度高く作成したり、マルウェアのコードを自動生成・改変したりすることを容易にする。技術的な専門知識がなくても、AIに指示するだけで高度な攻撃の一部を実行できる環境が整いつつある。

日本企業のセキュリティ担当者にとって、この変化は何を意味するか

日本のビジネス環境において、この変化は特に二つの層に影響する。一つは、セキュリティ専任チームを持たない中堅・中小企業だ。攻撃の準備コストが下がれば、以前は攻撃者が費用対効果の面で狙いにくかった規模の企業も対象に入りやすくなる。「大企業でなければ標的にならない」という前提は、もはや通用しにくい。

もう一つは、既存のセキュリティ体制を持つ大企業・官公庁だ。染谷氏の指摘は、これまでの「検知してから対処する」という事後対応型のモデルを根本から見直す必要性を示唆している。攻撃サイクルが短縮されると、侵入後に検知するだけでは被害を防ぎにくくなるため、侵入前提の設計（ゼロトラストアーキテクチャなど）や、AIを活用した自動防御の導入が現実的な選択肢として浮上する。

日本では、セキュリティ人材の不足が長年の課題として指摘されている。攻撃側がAIで人手不足を補えるようになった今、防御側も同様にAIを使って対応能力を拡張しなければ、非対称な戦いになりかねない。

「AIで防御も強化できる」で済ませてよいのか——判断を保留すべき論点

染谷氏の講演は警鐘を鳴らすものであり、具体的な製品・サービスの採用判断を直接促すものではない。企業としては、いくつかの点を慎重に見極める必要がある。

まず、「AI対AIの攻防」という構図は正しいが、防御側のAI導入にもコストと習熟期間が伴う。導入すれば即座に安全になるわけではなく、運用設計や人材育成とセットで考えなければ効果は限定的になる。

次に、攻撃の高速化に対して「検知の自動化」で対応しようとする場合、誤検知（正常な通信を攻撃と誤判定する）のリスクも高まる。業務への影響を最小化しながらセキュリティを強化するバランスの設計は、一朝一夕には完成しない。

さらに、生成AIを悪用した攻撃の手口は今後も進化し続ける。現時点のベストプラクティスが半年後に陳腐化する可能性もある。特定ベンダーのソリューションへの依存を深める前に、自社の脅威モデル（どのような攻撃者が、何を目的に狙ってくるか）を整理することが先決だ。

「備えを持てている側」と「持てていない側」の分断が加速する

冒頭で述べた「参入障壁の消滅」という問題は、防御側にも同じ論理が適用できる。AIを使いこなせる組織は防御の質を高められるが、使いこなせない組織はますます脆弱になる。サイバーセキュリティにおける「格差」が、技術的な洗練度よりも「AIをどれだけ使えるか」に収斂していく可能性がある。

2日が25分になったという事実は、攻撃者の話だ。しかし同じ技術は防御側にも使える。問題は「使っているか、使えているか」であり、今すべき問いは「自社のセキュリティ運用に、AIはどこまで組み込まれているか」という点に絞られる。ツールの選定よりも先に、この問いへの答えを持てているかどうかが、2026年以降の企業セキュリティの出発点になる。

本記事は公開情報をもとに、NEWGATA編集部で確認のうえ掲載しています。