技術的負債のデフォルト：支払期日が来たとき、取り立てるのは AI です

本文の内容は、2026年8月12日に Lydia Graslieが投稿したブログ (https://www.sysdig.com/blog/defaulting-on-tech-debt-when-the-bill-comes-due-ai-is-the-collector) を元に日本語に翻訳・再構成した内容となっております。

エージェント型AIがサイバーセキュリティを巡る議論を根本的に変えたことは、疑いようがありません。2025年11月、Anthropic は、攻撃者が Claude を使って悪意あるキャンペーンを自動化していたことを公表しました。2026年7月には、Sysdig 脅威リサーチチーム（TRT）がJADEPUFFERを暴きました。これは、AI エージェントによってエンドツーエンドで実行された、初の完全自律型ランサムウェアキャンペーンです。そして直近では、OpenAI が、同社のフロンティアモデルの1つが Hugging Face に対する攻撃に使われ、単一の週末で17,000件のイベントを実行したことを明らかにしました。 

こうしたエージェント型の脅威は、あらゆるセキュリティリーダーの関心の最前線にあります。実際、最近の Sysdig のイベントでは、ほぼすべての参加者が AI を自社のセキュリティチームにとって「高い」または「非常に高い」優先度だと回答しました。防御側がこの変化をどう捉えるべきか、実践的なアドバイスを求めていることは明らかです。 

Sysdig TRT は、脅威ランドスケープにおける新たなトレンドを明らかにしてきた実績があります。2026年が折り返しを迎えた今、興味深い一本の筋が見えてきました。こうしたエージェント型の脅威のほとんどは、新しい種類の失敗を含んでいないのです。むしろこれらの失敗は、AI が悪化させた複数の種類の「負債」として捉えられます。つまり、スピードと効率を優先して行われたトレードオフが、エージェント化が進む世界で過度なリスクとエクスポージャーを生み出してきたということです。ただし新しい点があります。チームが先送りしてきた負債が、いま支払期日を迎えたということです。

この比喩を続けるなら、AI は組織に新たな与信枠を開いてくれる存在でもあります。本来は手作業だったタスクの自動化を助け、チームが提供できるものの速度と規模を向上させる、といった具合です。しかし同時に AI は、この新しいコスト／ベネフィットの構図における取り立て屋でもあります。脅威アクターも他のユーザーと同じ恩恵を、しかも多くの場合はるかに少ないガードレールで手にできるからです。 

その意味で、AI が企業に支払いを迫っている主な負債は5つあります。

1. 修正されなかったコード。
2. 適切にスケールしなかったインフラ。 
3. チームが構築しなかった監督体制。
4. 人員を割いてこなかった、スキルを持つ人材の層。
5. ツールをデプロイした瞬間に自ら作り出した AI アタックサーフェス。 

これらの負債はいずれも返済可能です。ただし、延滞金利ではなく、意図的に支払う場合に限ります。端的に言えば、AI は脅威アクターが組織の技術的負債を悪用することを容易にしました。AI 支援型の攻撃とエージェント型脅威アクター（ATA）が増加しているこの局面を、セキュリティチームはデフォルトに陥る前に負債を返済する機会として活用しなければなりません。   

最近の攻撃が教えてくれること

Sysdig TRT は、公開情報として記録されている AI 活用型のオペレーション8件についてメタ分析を実施しました。国家支援型のスパイ活動から実験的なマルウェア、そして初のエージェント型ランサムウェアまでを対象とし、それぞれを MITRE ATT&CK（被害者側の手口）と MITRE ATLAS（AI オペレーターのレイヤー）にマッピングしています。 

対象としたのは次のケースです。 

• GTG-1002（Anthropic が阻止した中国関連のマルチエージェント侵入。約30の標的に対してほぼ自律的に実行された）。
• PROMPTSTEAL（APT28 がウクライナで展開）。
• QUIETVAULT（ホスト上の AI を使って GitHub と npm のトークンを探し出す認証情報スティーラー）。
• PROMPTFLUX（Gemini を呼び出して自身のコードを書き換えるドロッパー）。
• FRUITSHELL（LLM ベースのコードレビューを突破するために作られたプロンプトを同梱したリバースシェル）。
• HONESTCUE（Gemini による実行時（ジャストインタイム）の難読化）。
• Sysdig TRT による2件のケース、marimo への侵入（CVE-2026-39987）と JADEPUFFER、いずれも後述します。

以降の内容を支える3つの発見があります。

• 8件のいずれにおいても、AI は初期アクセスに何ら新しいものをもたらしていません。 侵入経路が記録されているものはすべて従来型でした。サーバーサイドリクエストフォージェリ（SSRF）、既知の CVE、窃取された認証情報です。記録された証拠が示しているのは、モデルが引き継ぐのは扉が開いた後だということです。オーケストレーション、ポストエクスプロイト、回避です。初期アクセスに対する統制は、これまでとまったく同じ攻撃を防いでいることになります。
• 新しい MITRE の攻撃テクニックはありませんでした。 8件のうち7件が T1059、Command & Scripting Interpreter を使用しています。フレームワークの中で最もありふれたテクニックです。それに続くのは、ファイル内の認証情報、ローカルシステムからのデータ取得、C2 経由の持ち出し、ありふれた探索とラテラルムーブメントです。被害者側から見た図は10年前と同じものです。
• 新しさはすべて、攻撃を実行しているのが誰かという点にあります。 ジェイルブレイクとガードレールの回避、実行時にコマンドを生成するモデル、複数の標的にまたがる自律的なオーケストレーションです。変わったのは攻撃ではなく、オペレーターです。だからこそ、これは速度と規模の問題になるのです。

証拠が揃ったところで、台帳を開きましょう。5つの負債、そして取り立て屋は1つです。

負債 01 — コード：数十年分の「後で直そう」が、いまや大規模に機械可読になった

バックログは以前からずっとありました。どの組織も、既知だが優先度を上げられていない脆弱性、パッチ未適用の依存関係、そして「リスク受容」として処理されたチケットを何年分も抱えています。それらが受容されたのは、主に悪用にコストがかかったからです。この経済性が成り立っていたのは、バグを見つけて武器化するには多くの人的な注意力と、獲得しにくい技術スキルが必要であり、そのどちらも希少な投入資源だったからです。

その投入資源は、もはや希少ではありません。marimo のケースがその明快な実証です。ATA はありふれた CVE を通じて侵入し、そこからポストエクスプロイトのチェーン全体をその場で組み立てました。認証情報の収集、AWS Secrets Manager の呼び出し、SSH でのピボット、PostgreSQL の全面的な持ち出しまでを、環境の応答に適応しながら10時間以内に実行しています。標的のエクスポージャーには、新しい点は何もありませんでした。新しかったのは、そのエクスポージャーから取り立てるコストが、ほぼトークン代にまで下がったという点です。

本記事の主張を一文でまとめると、こうです。ゼロデイとは、古い種類の失敗が、より速く発見され悪用されるようになったものです。脆弱性のカテゴリは、本記事の読者の一部がこの業界に入る前から変わっていません。変わったのは悪用のペースです。

負債 02 — インフラ：負荷そのものが負債

バグをより速く見つけるのと同じ加速が、あらゆるものが動く土台となるプラットフォームも圧迫しています。ただし、この負債を取り立てるのは敵ではありません。AI の導入そのものです。この区別は重要ですが、結果は同一になり得ます。エージェント駆動の負荷によって生じた障害は、敵によるインシデントと同じ項目を取締役会の台帳に並べます。業務が止まります。顧客は信頼を失います。ブランドは傷つきます。収益は失われます。原因は異なりますが、影響の欄は変わりません。

たとえば2026年3月、Cloudflare の CEO は、2027年までに自動化されたトラフィックが人間のトラフィックを上回ると予測しました。この予測は外れました。実際に起きたのは2026年6月で、Cloudflare 自身の計測によれば、自動化されたシステムが HTTP リクエストの57.5%を生成していました。これを駆動している非対称性は構造的なものです。人間がタスクを1つ完了する際に訪れるサイトが5つだとすれば、その人に代わって動くエージェントは5,000のサイトを訪れるかもしれません。このインターネットトラフィックの指数関数的な増加は、Web でホストされるあらゆるサービスに下流への影響を及ぼします。すべての組織は自らにひとつの問いを投げかけるべきです。自分たちのチームは、AI エージェントによる負荷の増加に対応する準備ができているか。

多くの組織が土台としてきたプラットフォームや、すべてが流れる配管は、もっと遅い世界を前提にサイジングされています。負荷曲線は、それを予測することを職務とする人々の予測すら追い越しています。自社のキャパシティプラン、あるいは他社のプランへの依存関係が、エージェントがコードをコミットし始める前に書かれたものであれば、それはすでに古びています。負荷そのものが負債であり、導入がその利息を複利で膨らませています。

負債 03 — ガバナンス：能力は導入されたが、監督体制は伴わなかった

AI の導入は、別種の利息も複利で膨らませています。2026年5月、6つの国家サイバー機関、すなわち CISA、NSA、オーストラリアの ASD ACSC、Canadian Cyber Centre、NCSC-NZ、NCSC-UK が、エージェント型AIに関する初の多国間協調セキュリティガイダンスを公表しました。題名は「Careful Adoption of Agentic AI Services.」です。中心的な懸念は権限の集積です。エージェントは複数のシステムをまたいで権限を蓄積するため、1か所の侵害が、個々の認証情報では決して届かない範囲へのリーチを与えてしまいます。

この懸念はもはや仮定の話ではありません。その実証は Sysdig TRT 自身のリサーチから出てきました。上記の対象ケースの中で最も新しい JADEPUFFER は、AI エージェントによってエンドツーエンドで管理された、既知で初のランサムウェアオペレーションです。そこには偵察、認証情報の窃取、ラテラルムーブメント、永続化、暗号化、破壊、そしてランサムノート自体までが含まれます。インフラの用意と被害者の選定は人間が行い、オペレーションはエージェントが実行しました。ある場面では、ログイン失敗から動作する修正までを31秒で成し遂げています。

ガバナンスのケースとして読むなら、JADEPUFFER はまさにその典型例です。Five Eyes のガイダンスが警告する権限集積のリスクは、このエージェントが侵入の過程で悪用したものそのものでした。侵害した1台のホストから、4つの異なる AI プロバイダーの認証情報とクラウドアカウントを収集し、そこから root 認証情報を使って本番データベースへピボットしています。そして、このエージェントが取り立てた負債はいずれもガバナンスの負債であり、技術的な新規性ではありませんでした。侵入口は1年以上パッチが当てられていないインターネットに露出した Langflow インスタンスであり、ピボットは2021年の認証バイパスと変更されていないデフォルトの署名鍵に乗ったものでした。そして破壊された設定は、身代金を支払っても復元不能でした。エージェントが自身の暗号鍵を保存していなかったからです。誰もパッチを当てていないインターネット露出のインスタンスは、機能的には、誰も追跡していない未管理のアセットです。これを3つの異なる時点で止められたはずの統制は、まさにガイダンスが規定しているものです。最小権限、フェイルセーフなデフォルト、インベントリ、そしてロギングです。

しかし、これは孤立した失敗ではありません。Cloud Security Alliance が2026年4月に実施した調査では、IT およびセキュリティの専門家418名を対象に、65%の組織が過去12か月間に AI エージェント関連のインシデントを少なくとも1件経験し、82%が過去1年間に自社環境で稼働していた未知のエージェントを発見しており、エージェントを廃止するための正式なプロセスを維持している組織はわずか21%であることが分かりました。デプロイされた能力と機能する監督体制との間のギャップは、予測ではなく、実測されたベースラインです。

ここが肝心な点です。推奨される統制はすでに存在しています。最小権限、ブラストラディウス（影響範囲）を限定するフェイルセーフなデフォルト、包括的なロギング、重大な結果を伴うアクションにおける人間の介在（ヒューマン・イン・ザ・ループ）などです。このガイダンスは、新しいセキュリティの科学を発明することを何ひとつ求めていません。求めたのは、既存の科学が、エージェントを本番で信頼する前に適用されるということを、6つの政府が共同で述べることだけでした。 

負債とは、統制のカタログが欠けていることではありません。カタログと、実際に予算が付いて実施されているものとの間のギャップです。そして、そのギャップを埋めた者には検知面での配当があります。たとえば JADEPUFFER のエージェントは、600を超えるペイロードにわたって、自らの目的を平易な言葉のコメントで解説していました。これは人間のオペレーターがほとんど（あるいは決して）残さない痕跡ですが、ランタイムで何が実行されているかを見られなければ役に立ちません。観測できない統制は、実施できない統制です。

負債 04 — スキル：人材の層が下から削られている

セキュリティにおいて、人間をループに入れておくこと自体が統制のひとつです。そこから、その役割を担える人材を私たちはいまも育てられているのか、という問いが生まれます。この負債には2つの側面があり、1つ目は構造的なものです。

SANS/GIAC 2026 Workforce Research Report は、セキュリティリーダー947名を対象とした調査で、CISO の60%がいまギャップとして挙げているのは人員数ではなくスキルだと明らかにしました。この差は1年のうちに4ポイントから20ポイントへ跳ね上がっています。採用の対応はシニア中心のトップダウンです。そして削減が及んでいるのは入口の階段です。SOC アナリストの職が32%減、脅威インテリジェンスが26%減、インシデントレスポンスが22%減となっています。入口の階段を削ることは、業界にとって明日のシニアなセキュリティ実務者を失うだけでなく、今日のシニアを行き詰まらせます。昇進が停滞し、苦労して採用した経験豊富な人材は、実際に前に進める場所へ去っていきます。 

そして、受けるべき注目に比べて語られることが少ない第二のコストがあります。AI には本質的なアカウンタビリティの課題があります。モデルは人ではありません。意思決定の責任を負うことも、リスクを承認することも、過ちについて答えることもできません。AI がオペレーターとなり、人間がオーケストレーターとなるこの局面こそ、監督とアカウンタビリティが再び決定的に重要になる場所です。これは業界全体の課題であり、多くの議論を呼びながら明確な答えは出ていません。

知識の劣化という問題もあります。業界のセキュリティ実務者からは、AI への依存が高まることで、AI が生成した判断を評価するために必要な判断力や批判的思考が、時間とともに損なわれるのではないかという懸念が示されています。組織にとっての決定的な課題は、AI を使って生産性を高めつつ、安全に運用するために必要な専門性を継続して育てていくことです。とくに、大規模障害のように AI が使えない状況においてこそ、それが問われます。

ここで各要素をつなげてみましょう。AI が吸収しているのは、まさに判断力を育ててきた仕事です。最初のスクリプト、最初のトリアージ、最初のレビュー、つまり失敗しても安く済んだ場所です。そしてそれは、その仕事を軸に組み立てられていた入口レベルの職務が、ますます AI に委ねられていくのと同じタイミングで起きています。GTG-1002 を思い出してください。あのモデルは自らの検出結果を頻繁に過大に述べ、時には捏造しており、オペレーションはそれを見抜けるだけの能力を持つ人間に依存していました。スキルは、経験と実践を通じてしか更新できない資源です。

負債 05 — AI アタックサーフェス：デプロイした AI が、いまや標的です

5年前には存在しなかった負債があります。あらゆるコパイロット、顧客対応アシスタント、そして本番アクセスを持つエージェントは、攻撃対象がひとつ増えることであり、守るべき対象がひとつ増えることでもあります。Google の Threat Intelligence Group は現在、AI を「敵のオペレーションのエンジンであり、かつ価値の高い標的でもある」と表現しています。そしてメタ分析で見たオペレーターのレイヤーは、もはや攻撃者のツールだけを指すものではありません。あなた自身のものでもあるのです。

エクスポージャーの所在を示す3つの事実があります。 

• 自社の AI も対象範囲に入ります。自社のデータを読めるか、自社のシステムに対して動作できるのであれば、それはアタックサーフェスの一部です。 
• 攻撃者はすでにそこにいます。プロンプトインジェクションは1位に挙げられており、AI アプリケーション向けの OWASP Top 10 Vulnerabilities において、2版連続で首位を維持しています。 
• 鍵はいたるところにあります。エージェントはマシンアイデンティティ上で動作します。Sysdig 2026 Cloud-Native Security & Usage Report によれば、マシンアイデンティティはクラウド環境におけるアイデンティティの97%以上を占め、リスクは7.5倍高く、侵害の約40%が認証情報の悪用から始まっています。この乱立が、攻撃されたエージェントが引き継ぐ鍵束です。そしてそれは、JADEPUFFER が持ち去ったのと同じ鍵束です。

ひとつの非対称性は明示しておく価値があります。この負債が他に統合されず独立した項目になる理由がそこにあるからです。これは、新たな与信枠も同時に開く唯一の負債なのです。アタックサーフェスを広げるのと同じ能力を、防御にも使えます。ただし、本番アセットとしてふさわしく統治されている場合に限ります。

この帳簿上のすべての負債は返済可能です

これは破産申請ではありません。支払いの方法は毎回同じです。ツールだけでなく、人とプロセスへの意図的な投資です。そして挙げた各負債について、明日から実行できることがあります。

1. コード：同じ AI を自社内に向け、まず自社のバックログを見つけてください。月曜からできる版：登録簿の中で最も古い「リスク受容」チケット10件を選び、悪用のコストがアナリストの数週間ではなくトークン代で済む世界を前提に、再評価してください。そのほとんどは、今日はもう存在しない経済性のもとで受容されたものです。
2. インフラ：カーブの先を見越して、キャパシティと封じ込めに予算を付けてください。月曜からできる版：キャパシティプランの担当者にひとつ質問してください。このプランは自動トラフィックと人間のトラフィックの比率について何を前提としており、それはいつ書かれたものか。答えがエージェント型ワークロード以前のものであれば、そのプランは古びています。
3. ガバナンス：自前でゼロから作るのではなく、Five Eyes のプレイブックを採用してください。月曜からできる版：本番アクセスを持つすべてのエージェントをインベントリ化し、それぞれについて実効権限と、そのアクションがどこに記録されているかを書き出してください。インベントリは権限リストより短くなるはずです。そのギャップこそが取り組むべき仕事です。
4. スキル：人材パイプラインを意図的に設計してください。月曜からできる版：これから自動化でなくそうとしている入口レベルの業務をひとつ特定し、それを排除するのではなく、監督付きで判断力を育てる仕組みとして再設計してください。レビュー付きのトリアージ、シニアが承認する一次分析といった形です。その業務の本質は成果物ではなく、判断力にありました。
5. AI アタックサーフェス：AI インフラを他の本番アセットと同じように扱ってください。月曜からできる版：コパイロット、アシスタント、エージェントを、サーバーと同じアセットインベントリに追加し、オーナー、スコープ、監視を設定してください。AI 部品表（AIBOM）を作成しましょう。インベントリに載っていないものは、守られていません。

支払いが着地するのはランタイムです。取り立て屋が現れるのがランタイムだからです。ツールもプレイブックも、ほとんどはすでに存在します。残っているのは投資です。

今日チームに持ち帰るべき3つの問い

1. 5つの負債、すなわちコード、インフラ、ガバナンス、スキル、AI アタックサーフェスのうち、いま自社で最も予算が不足しているのはどれでしょうか。本番アクセスを持つエージェントの最新インベントリを、いま提出できるでしょうか。
2. 自社の環境で、time-to-exploit（悪用までの時間）の短縮がすでに見えているのはどこでしょうか。
3. AI が入口レベルの業務を吸収していくとき、次の世代をどう育てるつもりでしょうか。

‍