目次
はじめに
2023年1月、「AIはサイバーセキュリティをどう変えるのか？― Syhuntが示す10の予測」を公開し、AIがサイバーセキュリティにもたらす以下の10の変化を予測しました。
当時はまだ生成AIが一般公開されて間もない時期で、その内容も未来の話として受け止められる部分も少なくありませんでした。
しかし、そこから3年経った2026年現在、多くの予測はすでに現実のものとなっています。
AIはセキュリティ診断や脆弱性分析を効率化する一方で、攻撃者もAIを活用し、フィッシングやマルウェア、情報窃取などの攻撃をより高度かつ自動化しています。
本記事では、2023年にSyhuntが示した10の予測を振り返りながら、それぞれが現在どのように実現しているのかを紹介 します。
1. 2023年の記事を振り返り
2023年の記事では、AIがサイバーセキュリティにもたらす変化として、次の10項目が予測されていました。
- 脆弱性発見の自動化
- 脆弱性の予測的な特定
- AIによるエクスプロイト開発
- 権限昇格の自動化
- AIによるネットワーク内の横展開
- 高度なデータ窃取
- 適応型ペネトレーションテスト
- AIによるソーシャルエンジニアリング
- レポート生成の自動化
- 継続的なペネトレーションテスト
それでは、それぞれの予測が現在どのように現実となったのかを見ていきます。
2. AI時代の10の予測はどうなったのか
2023年の記事では、AIがサイバーセキュリティにもたらす変化について10の予測を示しました。それから約3年が経過した現在、それらの予測は実際にどこまで現実となったのでしょうか。
ここからは、それぞれの予測について、現在の動向や実際の事例を交えながら検証していきます。
予測1 ：脆弱性発見の自動化
2023年の記事では、Webアプリケーションやネットワークの脆弱性を発見するAIが進化し、人手による診断作業は徐々に減少していく と予測しました。
そして約3年が経過した現在、この予測は現実となっています。
SANS Institute による 2025年調査結果によると、レッドチームのオペレーターの約67%が実際の攻撃活動中に少なくとも1つはAI支援ツールを使用していることがわかりました。これは2023年の調査から約18%の増加です。
【参考記事】 The State of AI Pentesting in 2026: Trends & Statistics
このようにAIを活用したペネトレーションテストツールや脆弱性診断ツールが急速に普及し、従来は人が行っていた情報収集や脆弱性探索の作業をAIが支援するケースが増えています。
以下のAI支援型セキュリティツールが実運用で利用されるようになりました。
【代表的例】
- PentestGPT
- NodeZero
さらにRapidPenでは、AIがスキャンから脆弱性の特定、攻撃手法の選択、実行までを自律的に行い、IPアドレスからシェル取得までを約400秒で完了できると報告されています。
【参考記事】
Fully Automated AI-Powered Penetration Testing Tools Compared in 2025
このように、AIによって、脆弱性発見は専門家だけのものではなくなりつつあります。
脆弱性診断の民主化は急速に普及し、さらに加速を続けていくでしょう。
予測2 ：脆弱性の予測的な特定
2023年の記事で、AIは、アプリケーションの挙動や実装パターンを分析し、まだ顕在化していない潜在的な脆弱性を予測できるようになる可能性がある と予測しました。
現在、この予測についても 現実となっています。
企業では大量の脆弱性情報をAIで分析し、危険度や優先順位を自動的に判断する仕組みが一般的になりつつあります。
AIは単に脆弱性を列挙するだけではなく、
- どの脆弱性を優先して修正すべきか
- 攻撃される可能性が高いか
- どの資産に影響するか
といった観点から分析を行い、セキュリティ担当者の意思決定を支援しています。
これにより、攻撃者に悪用される前にリスクを特定し、優先的に対策を講じる「予測型のセキュリティ」が現実のものとなりつつあります。
予測3：AIによるエクスプロイト開発
2023年の記事で、AIは発見した脆弱性に対するエクスプロイトコードの作成や実行を支援するだけでなく、防御側でも攻撃手法の検証や再現に活用されるようになる と予測しました。
結論から伝えると、この予測も現実となっています。
Google Threat Intelligence Groupによると、近年のサイバー攻撃では、単にAIで作業を効率化するだけではなく、AIを組み込んだ新たなマルウェアが実際の攻撃で確認されています。
例えば、以下のマルウェアが報告されています。
- PROMPTFLUX：Google Geminiを利用して自身のソースコードを書き換え、活動を隠そうとするマルウェア
- PromptSteal：オープンソースのLLMを利用し、システム内を探索しながら情報を窃取するAI搭載マルウェア
一方、防御側でも、AIを活用したエクスプロイト開発や攻撃の再現は、レッドチームによるペネトレーションテストやセキュリティ検証で一般的な手法になりつつあります。
このように、AIは攻撃者・防御側の双方で活用される時代へと移行しています。
予測4：権限昇格の自動化
2023年の記事では、AIが権限昇格につながる脆弱性を自動的に発見・悪用し、攻撃者がより高い権限を取得できるようになると予測しました。
この予測も現実となっています。
現在では、AIを活用した攻撃ツールが、認証情報の窃取やネットワーク内の情報収集、弱いパスワードの推測などを自動化し、権限昇格につながる攻撃を支援するようになっています。
さらに、国家支援型攻撃グループによる活動では、生成AIを活用して
- 情報収集
- フィッシング
- 権限昇格
- ネットワーク内の横展開
- 情報窃取
といった一連の攻撃プロセスを効率化していることが報告されています。
このように、AIは単に攻撃を支援するだけではなく、権限昇格を含む攻撃全体の自動化・高速化を実現する技術として利用され始めています。
予測5：AIによるネットワーク内の横展開
2023年の記事では、AIがネットワーク内を自律的に探索し、新たな脆弱性を発見・悪用しながら侵入範囲を拡大することで、従来よりも高速かつ効率的な横展開が行われるようになる と予測しました。
約3年が経過した現在、この予測も現実となっています。
近年、攻撃者がネットワーク内部で横展開する速度というのは、年々短縮しています。
2025年には、攻撃者が横展開を開始するまでの平均時間は34分となり、2024年の48分から約29%短縮されたと報告されています。
さらに、最も速いケースでは、侵入から約6分で情報窃取まで到達 した事例も確認されています。
この背景には、AIと自動化技術の進化があります。攻撃者はAIを活用してネットワーク構成の把握や脆弱性の探索、侵入経路の選択を効率化しており、横展開のスピードはこれまで以上に加速しています。
このように、AIによるネットワーク内の横展開は、もはや理論上の話ではなく、実際のサイバー攻撃で確認されている現実となっています。
予測6：高度なデータ窃取
2023年の記事では、AIは取得した情報を効率よく収集・整理し、検知を回避しながら外部へ送信する技術にも利用されるようになり、情報漏えい対策はこれまで以上に重要になる と予測しました。
この予測も現実となっています。
現在では、AIを利用して盗み出す情報を自動的に判断するマルウェアも確認されています。
さらにAIによる以下の事例も報告されており、AIは攻撃後のプロセスにも利用され始めています。
- 盗むべき情報を選定
- 身代金額を計算
- 身代金要求文を作成
このように、AIは情報窃取を支援するだけでなく、攻撃後の意思決定まで担う存在になりつつあります。
2023年にSyhuntが予測した「高度なデータ窃取」は、すでに現実のものとなっています。
予測7：適応型ペネトレーションテスト
AIが状況に応じて判断しながら診断を進める時代が始まっています。
2023年の記事では、AIが診断結果をリアルタイムで分析しながら診断手法を動的に変更し、状況に応じて最適な戦略を選択する「適応型ペネトレーションテスト」が実現すると予測しました。
この予測も現実となっています。
AIエージェントによるペネトレーションテストの性能は急速に向上しており、2026年には企業ネットワークを対象とした実証実験で、人間のペネトレーションテスターに匹敵する成果を示したAIシステムも登場しています。
例えば、ARTEMISは約8,000台のホストで構成された企業ネットワークを対象とした評価で、人間のペネトレーションテスターと比較して高い精度で脆弱性を発見したことが報告されています。
AIは診断中に得られた情報を基に次の攻撃経路を判断し、状況に応じて診断手法を切り替えながらテストを進めることが可能になりつつあります。
このように、適応型ペネトレーションテストは、もはや将来の予測ではなく、実証実験によってその有効性が示されている技術となっています。
予測8：AIによるソーシャルエンジニアリング
これは、2023年にSyhuntが予測した10項目の中でも、最も現実味を帯びた予測と言えるでしょう。
2023年の記事では、ChatGPTがIT担当者になりすまして社員から情報を聞き出そうとする架空の会話例を紹介しました。
しかし現在では、攻撃者はテキストだけではありません。
2024年には、香港のグローバル企業Arupで、AIによって生成されたCFOらの映像と音声を利用したビデオ会議を信じた社員が約2,500万ドルを送金してしまう事件 が発生しました。
さらに、ディープフェイクを利用した音声詐欺（Vishing）も急増しており、人をだます手段としてAIが悪用されるケースは急速に増えています。
このように、2023年当時は「AIが人間になりすまして情報を聞き出す未来」として紹介していたシナリオは、わずか数年で現実の脅威となりました。AIは文章を生成するだけでなく、人の顔や声まで再現できるようになり、ソーシャルエンジニアリング攻撃は新たな局面を迎えています。
予測9：レポート生成の自動化
2023年の記事では、AIが診断で発見した脆弱性や攻撃シナリオを分析し、レポートを自動生成できるようになることで、報告書作成にかかる工数が大幅に削減されると予測しました。
この予測も現実となっています。
レポートの自動生成は、AI活用の中でも最も実用化が進んでいる分野の一つです。
Bishop Foxの調査によると、AIを活用することで、中規模のペネトレーションテストにおけるレポート作成時間を約35%短縮できたと報告されています。
現在では、多くの商用ペネトレーションテストツールに、AIによるレポート生成機能が標準的に搭載されるようになっています。
AIは診断結果の整理やレポート作成を支援し、ペネトレーションテスターは分析や考察、リスク評価といった、本来注力すべき業務により多くの時間を割けるようになっています。
このように、レポート生成の自動化は、AI活用の中でも最も実用化が進んでいる分野の一つとなっています。
予測10：継続的なペネトレーションテスト
2023年の記事では、AIを活用することで、一度限りのペネトレーションテストではなく、継続的にシステムを監視・診断する運用が一般的になると予測しました。
この予測も現実となっています。
近年、多くの企業では年に数回実施するペネトレーションテストだけではなく、継続的にシステムの安全性を検証する運用へと考え方を移行し始めています。
その背景には、クラウドサービスやAPIの普及により、システムが日々変化し続けていることがあります。新しいAPIの公開やクラウド設定の変更が頻繁に行われる現在では、一度の診断だけでは十分とは言えません。
こうした変化に対応するため、AIを活用した継続的な脆弱性診断やペネトレーションテストの導入が進んでおり、企業はリアルタイムに近い形でセキュリティリスクを把握できるようになっています。
このように、ペネトレーションテストは単発のプロジェクトではなく、継続的なセキュリティ検証へと大きく変化しつつあります。
3. まとめ
2023年にSyhuntが示した「AIがサイバーセキュリティを変える10の予測」は、約3年が経過した現在、その多くが現実のものとなっています。
AIは、脆弱性発見やリスク分析、レポート生成、継続的なセキュリティ診断など、防御側の業務を大きく効率化する一方で、攻撃者もAIを活用し、マルウェアの高度化やソーシャルエンジニアリング、情報窃取の自動化など、攻撃手法を急速に進化させています。
2023年の記事では、AIは「諸刃の剣」であると述べました。この考え方は現在でも変わっていません。AIはサイバーセキュリティを大きく前進させる可能性を秘めていますが、その一方で攻撃者にとっても強力な武器となっています。
一方で、AIがすべてを解決できるわけではありません。複雑な業務ロジックや組織固有のシステムを理解し、リスクを総合的に判断するには、依然として人間の専門知識や経験が欠かせません。
今後もAIはさらに進化を続けるでしょう。その時代に求められるのは、AIに仕事を任せることではなく、AIと人間がそれぞれの強みを活かしながら、安全かつ責任を持って活用していくことです。
サイバーセキュリティの未来は、AIの性能だけで決まるものではありません。AIをどのように活用し、どのように管理していくかが、これからの組織にとってますます重要になるでしょう。
