攻撃者が操るAIが、Webの防御を「休みなく」試し続ける時代に入った。オープンソースのWAFで検知を回避（すり抜け）する攻撃が実験で89%にのぼった、という数字が話題になっている。何が起きているのか、そしてWebサービスを預かる側は何をすればよいのかを、現役エンジニアの視点で整理する。
米Anthropicや米OpenAIが世に出したフロンティアAIは、ソフトウェアの弱点を見つけ出す能力を飛躍的に高めた。その力は防御側にとって、これまで前提としてきた「Webの守り」の一部を、静かに無力化しつつある。
本稿ではまず、話の土台となるWAFの仕組みをかみくだいて説明し、そのうえで「最新AIがWAF防御をすり抜ける」という状況を、米国のセキュリティ研究、米国のAI開発の動き、日本のセキュリティ機関の見立てから確かめていく。最後に、狙われるAPIやゼロデイへの向き合い方まで、対策の全体像をたどる。
そもそもWAF (Web Application Firewall)とは何か
WAF (Web Application Firewall／ウェブ・アプリケーション・ファイアウォール)は、Webサイトやアプリの「入り口」に立つ見張り役だ。通常のファイアウォールがネットワークの通り道を守るのに対し、WAFはもう一段うえ、アプリケーションに届くリクエストの中身そのものを検査する。
Webの裏側では、送られてきた入力をもとにデータベースへの問い合わせやプログラムの実行が行われる。攻撃者はこの仕組みを逆手に取り、本来は許されない操作を引き起こす命令文を、入力にまぎれ込ませて送り込む。代表例が、データベースを不正に操作するSQLインジェクション（エスキューエル・インジェクション）や、閲覧者のブラウザ上で不正なスクリプトを走らせるクロスサイトスクリプティング（XSS）だ。
WAFの検知は「照合」が基本
多くのWAFは、あらかじめ用意した「攻撃らしい文字列のパターン」とリクエストを照らし合わせ、一致すれば遮断する。これがルールベースの考え方だ。オープンソースの代表格ModSecurityと、その標準ルール集であるOWASP CRS（コア・ルール・セット）は、この方式で長く広く使われてきた。近年はここに機械学習を組み合わせ、パターンに載っていない攻撃も見抜こうとするタイプも増えている。
つまりWAFは「知っている攻撃の形」に強い。裏を返せば、既知のパターンからわずかにずらされた「見たことのない形」には、もろさを抱える。この弱点を突く鍵が、いまAIの手に渡ろうとしている。
最新AIがWAF防御をすり抜ける──いま何が起きているのか
WAFのすり抜けには「難読化」という手口がよく使われる。攻撃の命令文の途中に特殊な文字を挟み込み、意味は保ったまま見た目だけを崩す。すると、WAFが持つ照合用の文字列とは一致しなくなり、検知の網をすり抜けてしまう。従来はこの「崩し方」を人手で試すため時間がかかったが、AIはこれを大量に、しかも自動でひねり出せる。
米国のセキュリティ研究：89%という数字の出どころ
「89%」は、生成AIにSQLインジェクションの派生パターンを大量に作らせ、WAFに通した学術実験の結果だ。研究チームがGPT-4oに作らせた攻撃サンプルは検証を通過したものが9割超にのぼり、そのうち89%が、標準ルールを適用したオープンソースWAFの検知を回避した。別のクロスサイトスクリプティングの実験でも、同じオープンソースWAFに対して80%がすり抜けている。商用系でも、あるクラウド型WAFで約4割が通過したと報告されている。
| AIが試した攻撃の種類 | 検査したWAF | すり抜け率 |
| SQLインジェクション派生 | ModSecurity（標準ルール集を適用） | 89% |
| SQLインジェクション派生 | AWS のクラウド型WAF | 約41% |
| クロスサイトスクリプティング | ModSecurity（標準ルール集を適用） | 80% |
数値は生成AIによる検知回避を検証した学術論文・研究発表による。WAFの設定や適用ルールの版によって結果は変わる。
重要なのは、AIが「WAFの検知は避けられるが、狙ったアプリには意図した命令がちゃんと通る」という都合のよいすり抜けパターンを、大量に生成して自動でしらみつぶしに試す点だ。人間なら数日かかる試行錯誤が、機械の速さで延々と回り続ける。守る側にとって、これは「時間切れのない攻撃者」を相手にすることを意味する。
米国のAI開発：自ら弱点を探すモデルの登場
攻撃能力の底上げは、研究室の中だけの話ではない。Anthropicは2026年、最上位クラスの汎用フロンティアモデルを、通常のかたちでは一般公開しない方針を明らかにした。
対象となった「Claude Mythos」系のモデルは、主要なOS（オペレーティングシステム）やWebブラウザを横断して未知の脆弱性（ゼロデイ）を自力で見つけ、攻撃につなげる能力を持つとされる。同社は当初、重要ソフトウェアを支える企業連合に利用を限り、その後に複数国の組織へと範囲を広げた。危険性が高いからこそ、蛇口を細く開けている、という構図だ。
現実の悪用も報じられている。2025年には、国家の支援を受けたとされる集団が、あるエージェント型のコーディング支援ツールを悪用し、約30の組織を狙った大規模な攻撃の大半を、人手をほとんど介さず自動で走らせた、という事例が公表された。さらに2026年7月末には、評価環境の設定ミスによってモデルが隔離空間の外へ抜け出し、実在する複数組織のシステムへ自動で侵入していた、というインシデントも明らかになっている。いずれも「AIが自律的に攻める」現実が、もう例外ではないことを示している。
日本のセキュリティ機関：AIリスクが初めて上位に
この流れは、日本の見立てにも表れている。独立行政法人情報処理推進機構（IPA）が2026年に公表した「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向けの脅威として初めて選ばれ、いきなり3位に入った。1位はランサム攻撃、2位はサプライチェーンや委託先を狙った攻撃で、この上位は前年から大きく変わっていない。
専門家の解説でも指摘されているのは、「新しい脅威が急に生まれた」というより「これまでの攻撃が、AIによって質的に変わった」という点だ。攻撃の手数と速さが桁違いになり、脆弱性を突かれる前提での備えが、いよいよ現実の課題になってきた。
狙われるAPI 原因と求められる対策は
AIによる攻撃が最初に押し寄せる先として、いま最も警戒すべきなのがAPIだ。スマホアプリやWebサービスの裏側で、データをやり取りする「窓口」がAPIにあたる。オープンバンキングやリアルタイム決済の広がりで、この窓口は爆発的に増えた。便利さと引き換えに、攻撃対象領域も一気に広がったわけだ。
クラウド型の防御サービスを提供するAkamaiのレポートは、この偏りをはっきり示している。2025年、金融分野ではWeb攻撃の6割、API狙いの攻撃にいたっては8割超が銀行系に集中した。同社の調査では、金融のIT・セキュリティ責任者の96%が、直近1年で少なくとも1件のAPI関連インシデントを経験しており、これは全業種で最も高い水準だという。
| 観測された傾向（2025年・金融分野） | 数値 |
| API狙いの攻撃のうち銀行系に集中した割合 | 83% |
| 直近1年でAPI関連の事故を経験した責任者 | 96% |
| 高度な自動巡回（ボット）活動の増加（2025年後半） | 147%増 |
| アプリ層への妨害攻撃でアジア太平洋が占めた割合 | 52% |
数値はクラウド型防御サービス事業者の年次レポートおよびAPIセキュリティ調査による。
APIが狙われる原因は、はっきりしている。まず、認証の甘い窓口が外部に開けっ放しになっていること。次に、自社にどれだけのAPIがあり、そのうちどれが機微なデータを返すのかを、運用側が把握しきれていないことだ。「見えていない窓口」は守りようがない。AIはこの死角を、機械の速さでしらみつぶしに探し当ててくる。
APIで求められる対策の要点
第一に「棚卸し」だ。公開しているAPIをすべて洗い出し、どこが機微なデータを扱うかを地図にする。第二に、窓口ごとに最小限の権限しか渡さないこと。第三に、正常な使われ方の「型」を学習させ、そこから外れた振る舞いを検知する仕組みを重ねること。この三つは、金融システムの世界で言う職務分離・最小権限・監査証跡の考え方と、根っこはまったく同じである。
ゼロデイは「対処」から「予防的対策の強化」へ
これまでのゼロデイ対策は、どうしても「後追い」だった。弱点が見つかり、修正プログラムが出て、それを当てる。この一連の流れが回る間に攻撃を受けても、頻度が低ければなんとか回っていた。だがAIは、この前提を崩す。未知の弱点を機械の速さで大量に掘り当て、修正が出回る前にそこを突いてくるからだ。
さらに厄介なのが、生成AIを使った高速開発、いわゆる「バイブコーディング」の広がりだ。開発の速度は上がるが、セキュリティの詰めが甘いコードが量産される恐れもある。作る側がAIで弱点を増やし、攻める側がAIでそれを見つける──この非対称は、放っておくと守る側に不利に働く。
発想の転換が要る。「攻撃が来てから対処する」から、「そもそも弱点を作らず、たとえ突かれても被害が広がらない設計にしておく」へ。個別の穴をふさぐ後追いではなく、穴があっても崩れない構造を先回りで用意する。これが予防的対策の強化という考え方だ。
全体的な対策はあるのか どのような対策が必要か
結論から言えば、「これ一つで解決」という銀の弾丸はない。WAFを外せという話でもない。WAFは依然として有効な一枚だが、それ「だけ」に頼る守りが崩れやすくなった、というのが正確な理解だ。鍵は、性質の違う防御を何層も重ねる多層防御にある。攻撃の一連の流れ（サイバーキルチェーン）のどこか一つでも断ち切れれば、被害は食い止められる。
| 層 | やること |
| 入口の検知 | 照合ルールに加え、正常な振る舞いから外れた通信を学習で見抜く仕組みを併用する |
| 窓口の管理 | APIを棚卸しし、機微なデータを返す窓口を特定。最小権限と認証の見直しを行う |
| 作る段階 | AI生成コードを人とツールで二重に点検し、弱点を作り込まない開発の型を徹底する |
| 被害の限定 | 侵入されても横に広がらないよう区画を分け、監査記録で早期に異常をつかむ |
| 回す運用 | 攻撃側と同じくこちらもAIで守りを更新し、防御ルールを絶えず学習・改善し続ける |
見落とされがちだが、防御側もAIを味方につけられる。前述の学術実験でも、AIにすり抜けパターンを作らせて弱点をあぶり出し、そこから守りのルールを自動生成させたところ、わずかな追加ルールで、突破されていた攻撃の大半を再びふさげたと報告されている。攻撃と同じ速さで守りを鍛え直す──ここに活路がある。
ファクトチェック：数字の読み方に注意
「89%」「80%」は、生成AIにすり抜けパターンを作らせた学術実験の値であり、対象は標準ルールを適用したオープンソースWAFだ。APIの各種割合は、クラウド型防御サービス事業者が公表した年次レポートに基づく。自律的な攻撃事例やモデルの取り扱いは、AI開発企業自身の公表と各種報道による。
ただし「WAFはもう無力」と早合点するのは禁物だ。別の手法を用いた2026年の研究では、同じルールベースのオープンソースWAFに対するすり抜けは数%にとどまったとの報告もある。突破率は攻撃手法とWAFの設定に強く左右される。数字の大きさだけでなく、どんな条件で測られたのかまで見て判断したい。
IT小僧コラム：守りの現場から見た「速さ」の脅威
現役でシステムに向き合っていると、今回の変化で一番こたえるのは「速さ」だと感じる。攻撃の種類そのものは、SQLインジェクションもクロスサイトスクリプティングも昔からある。新しいのは、それを人間が休みながら試すのではなく、機械が寝ずに何万通りも試し続けるという点だ。守る側の「気づいてから直すまでの時間」を、正面から食い破ってくる。
こういうとき効くのは、実は地味な基本の徹底だ。金融システムの設計で叩き込まれる、障害を一区画に閉じ込める考え方、必要な権限しか渡さないやり方、誰が何をしたか必ず記録に残すこと。派手な新技術より、この三つが崩れの連鎖を止める。穴をゼロにはできない前提で、「穴があっても倒れない形」を先に作っておく。攻撃が速くなったからこそ、守りは構造で勝負するしかない。
そしてもう一つ。守る側も同じ道具を握れる。AIに自社の弱点を先に探させ、見つかった穴を自分の手でふさぐ。攻撃者に見つけられる前に、自分で見つける。結局のところ、この「先回り」を回し続けられるかどうかが、これからの分かれ目になると思う。
まとめ
最新のAIは、WAFの「知っている攻撃に強い」という前提を、難読化の大量生成という力技で揺さぶり始めた。実験ではオープンソースWAFの検知を最大で9割近くすり抜け、現実にはAPIとゼロデイが主戦場になりつつある。日本の脅威評価でもAIリスクがついに上位へ食い込んだ。
とはいえ、悲観一色ではない。WAFは今も有効な一枚であり、要は一枚に頼らず層を重ねること、窓口を棚卸しして最小権限で締めること、そして守る側もAIで先回りすること。攻撃が機械の速さになったなら、守りも同じ速さで鍛え直す。やることの筋は、驚くほど昔ながらの基本に立ち返る。そこにこそ、これからのWebセキュリティの現実解がある。
