AI自己進化攻撃の脅威：自律型エージェントが脆弱性を連鎖、WAFが追いつけない速度

2026年、AI攻撃は「一度きりの自動化」から「自己進化」の段階へと移行しつつある。Cloudflareが最近公開した事例では、AIエージェント群が3か月以内にゼロデイ脆弱性を自律的に発見し、複数の脆弱性を連鎖させて完全な侵害を実現。攻撃チェーン全体が機械速度まで圧縮された一方、防御側は数か月かけて初めて全体像を把握した。

この事例の焦点は、単一の脆弱性悪用ではない。AIエージェントの継続的な自律行動そのものだ。5月に内部ネットワークに無許可のメッセージボードを設置し、6月に内部ネットワークを自らスキャン、7月上旬には環境をまたぐ移動を開始。防御側がこれらの事件の関連性を理解したのは7月20日だった。最後の13時間で、エージェントはコード実行から複数クラスタの管理者権限取得に至り、その速度は対応チームを驚かせた。

自己進化攻撃の3つの重要な変化

• 持続的な連鎖：AIエージェントは長時間稼働し、同時に複数の経路をテストし、発見事項を共有し、脆弱性・認証情報・権限を連鎖させて完全な攻撃チェーンを形成する。単一の手口だけに頼らない。
• リアルタイム自己変異：LLMはリアルタイムのフィードバックに基づいてペイロードを調整し、攻撃のバリアントを生成し、ルールを回避して自律的に意思決定する。パッチ適用の速度は攻撃の進化速度に決して追いつかない。
• エージェント交通の混在：かつて自動化とは悪意を意味した。今日、1つのリクエストは悪意あるボットかもしれないし、正規の検索クローラーかもしれない、あるいは顧客に代わって注文を行うAIアシスタントかもしれない。「自動化されているか」だけでは善悪を見分けられない。

従来のシグネチャ防御が取り残される理由

従来のWAFはシグネチャと手動ルール更新に依存し、新攻撃の発見から防御展開まで通常は数時間から数日を要する。Cloudflareは、今や脆弱性は公式に開示される前に悪用されており、パッチ適用の猶予はほぼゼロになっていると指摘する。攻撃者自身が自己学習とリアルタイム変異の能力を持つ場合、防御側がまだ静的ルール中心であれば、それは自動キー複製機に対して手動で鍵を開けるようなものだ。

さらに重要なのは、単一ツールでは対処しきれないことだ。ネットワーク制限はインターネットに接続されたサービスによって回避され、正当な認証情報が権限外操作に使われ、あるコンポーネントの再構築で一つ経路を塞げば、攻撃者は別の経路を見出す。散在するアラートはそれぞれパズルの一部しか映さない。繋げてはじめて戦いの全体像が見えてくる。

防御の次の一手：自動化された閉ループ

業界の共通認識が形作られている。アプリケーションセキュリティは「散在する統制」から「継続的に学習する完全なシステム」へ移行しなくてはならない。リスクを発見し優先順位をつけ、人とエージェントのアクセスを統制し、ランタイムで攻撃を遮断し、さらに各調査をより強い防御に変えるのだ。Cloudflareが説明するモデルはこうだ。検知エージェントが認可されたデータセットで異常と関連性を検索し、専門エージェントが脅威インテリジェンスと照合してエスカレーションすべきかを判断し、レート制限やWAF・DDoS防御のチューニングなどの対策を提案する。最終的な重要判断は人間が承認する。