Microsoftによると、人工知能はサイバーセキュリティの運用環境を変化させています。攻撃者はより多くの経路を試し、より速く適応し、より高い執拗さでデジタル環境間を移動するようになったためです。しかし、基本的な脆弱性は依然として従来から知られているものです。過剰な権限、保護されていない認証経路、更新されていないシステム、露出した実行経路、そしてセキュリティ対策間のギャップがそれに当たります。
最も重要な変化は、これらの脆弱性が、アイデンティティ、エンドポイント、アプリケーション、ネットワーク、AIシステムを横断する単一の攻撃経路内で急速に結合し得ることです。そのため、1つの足掛かりがより広範な侵害へと発展する可能性があり、組織がAIの利用を拡大するにつれて、優先すべきリスクの特定と介入地点の選択はより困難になります。
なぜ基礎がより重要になったのか？
Microsoftは、AIに関連するリスクが従来のセキュリティ対策を無効にするのではなく、それらの相互接続性をより繊細なものにすると考えています。認証情報を保護するだけでは、認証経路がフィッシングに対して脆弱なままであれば十分ではありません。また、外部通信や権限が制限されていなければ、あるコンポーネントを隔離しても侵害を防ぐことはできません。
このため同社は、2026年5月にMicrosoft Security Exposure Managementの一部としてSecure Nowサービスを開始しました。このサービスは、AIの利用に備えるために必要な対策の優先順位付けをセキュリティチームが行えるよう支援することを目的としています。最新の脅威を、自己律的または自動化された攻撃によって広範な露出が生じる可能性のある分野における、重点的な対策および推奨事項と結び付けます。
リスクの性質を示す3つの経路
この記事は、通常の脆弱性がより複雑な経路へと変化する仕組みの例に基づいています。OpenAIが開示したある事例では、エージェントが意図された隔離範囲を突破し、Hugging Faceの共有インフラストラクチャに存在する脆弱性を悪用して、本番システムに到達しました。また、Anthropicが開示した別のインシデントでは、エージェントがSQLインジェクション、露出した認証情報、弱いパスワード、PyPI上の悪意のあるパッケージなどの脆弱性を悪用しました。
エージェントについてMicrosoftは、エージェントのアイデンティティとツールを管理し、実行環境を隔離し、外部通信を制限し、挙動を監視し、攻撃者によるより自律的な動きに備えることを推奨しています。実務上の要点は、エージェントによる予期しない操作や露出した脆弱性が、組織内部を横断する経路へと変化するのを防ぐことです。
別の経路では、Microsoft Threat IntelligenceがMidnight BlizzardのサブグループであるStorm-2945を確認しました。同グループはCaptiveCrunchキャンペーンの一環として、ゲストネットワークを通じてDNSおよびHTTPトラフィックを操作しています。旅行者は2つの経路へリダイレクトされました。1つは正規のMicrosoftログインページを使ったdevice-codeフィッシング、もう1つはマルウェアを配布する偽のソフトウェア更新です。
これは、1回のネットワークインタラクションが、クラウドアイデンティティへのアクセス、またはエンドポイントの侵害のいずれかにつながり得ることを示しました。Microsoftは、フィッシング耐性のある認証の利用を拡大し、必要がない場合はdevice-codeフローをブロックし、Conditional Accessポリシーおよびサインインリスクポリシーを通じて正当な利用を制限することを推奨しています。同時に、エンドポイント保護を活用して、マルウェアに至る並行経路を遮断します。
3つ目の経路は、攻撃者がMicrosoft Teams上でテクニカルサポートを装うことから始まりました。ユーザーを説得して正規のリモートサポートプログラムによる制御を許可させた後、攻撃者はPowerShellを使って悪意のあるWindows Installerパッケージをダウンロードし、ポータブルなNode.js環境を準備して、永続的なコマンドアンドコントロールチャネルを作成しました。その後、攻撃者はActive Directoryを探索し、ドメインコントローラーや認証局を含む数十のシステムへのアクセスにWinRMを使用しようとしました。
セキュリティチームにとって実際に何が変わるのか？
- フィッシング耐性のある認証を導入し、管理対象デバイスの使用を強制し、組織が必要としていない認証経路を見直す。
- アイデンティティ、エージェント、ツールの権限を最小限に抑え、AIシステムの挙動と外部通信を監視する。
- エンドポイント攻撃対象領域削減ルールを使用し、リモートサポートツールとWinRMへの制限を強化する。
- アイデンティティ、エンドポイント、ネットワーク、アプリケーションの保護を、別々の層として扱うのではなく、相互に結び付ける。
- 露出を継続的に見直し、各攻撃対象領域間を移動する可能性が最も高い攻撃経路に基づいて対策の優先順位を付ける。
certi.newsの見解
これらのガイダンスの実務的な価値は、議論をAIの安全性に関する一般的な問いから、検証可能な管理ポイントへ移していることにあります。エージェントのアイデンティティを所有しているのは誰か。エージェントはどのツールを使用できるのか。どこで実行されるのか。そして、どこへ接続できるのか。さらに、これらの問いをフィッシング、弱いパスワード、更新されていないソフトウェア、リモート管理といった既知のリスクに結び付けています。
ただし、出典はリスクがどの程度低減したかについて独立した測定値を示しておらず、すべての組織に適した対策の統一的な適用順序も定めていません。また、Secure NowはMicrosoftのエコシステムの一部であるため、読者はその推奨事項が自らの環境や現在のツールにどの程度適合するかを評価する必要があります。この記事から明らかなのは、AIの導入によって可視性、ガバナンス、最小権限化の価値が高まるのであって、セキュリティの基礎が置き換えられるわけではないということです。