Signal
📡 Signal｜経産省、IPA に AI で模擬攻撃するハッカーチームを11月設置へ
赤澤経産相が、高性能 AI で模擬攻撃を行い弱点を探すチームを11月中に IPA に設置すると表明。直前には PHP の重大な脆弱性「PHP2shell」が公表されていた。
赤澤経済産業相は10月23日の閣議後の記者会見で、高性能の AI を使って模擬的な攻撃を仕掛け、システムの弱点を洗い出すチームを、来月中に情報処理推進機構（IPA）に立ち上げると表明した。攻撃者が AI で幅広く脆弱性を探している可能性があるとして、防御する側も AI を使い、先手を取る必要があるとした。
大臣が集めると語ったのは、攻撃者以上の攻撃を行える「トップガン人材」だ。日本の公的な防御の体制が、守りを固める発想から、自ら攻めて穴を探す発想へ組み替えられはじめた。同じ会見の2日前には、広く使われるプログラミング言語 PHP で遠隔からコードを実行されうる脆弱性が公表されている。
防御は構造的に後手に回る
赤澤氏は冒頭の発言で、防御が攻撃に対して構造的な弱みを抱えていると3点で説明した。防御は攻撃を想定して組むので後手に回ること、攻撃は穴を一つ見つければ成功するのに対し防御は全面で行う必要があること、そして攻撃は常に想定外を突いてくるという有識者の指摘だ。
そこで、攻撃者の視点に立ち、高性能の AI を防御の側にも使って、模擬的な攻撃で弱点を確かめる試験、いわゆるペネトレーションテストを徹底的に行うとした。大臣は、攻撃のことも念頭に置きながら全体の防御を成功させる人材を「オフホワイトハッカー」と呼び、人材の信頼性の確保にも配慮しながらチームを立ち上げるよう指示したと述べた。
AI を使ったセキュリティの強化は、先に取りまとめられた自民党の提言にも盛り込まれていると、大臣自身が触れている。経産省の今回の指示は、その提言を所管の機関の体制に落とし込む最初の一手にあたる。
PHP の脆弱性で見えた、AI 時代の速さ
会見の質疑では、10月21日夜に公表された PHP の脆弱性が取り上げられた。IPA が10月22日に出した注意喚起によると、メモリ不足のエラー処理に起因する脆弱性（CVE-2026-109618）と、リクエストの処理に関連する脆弱性（CVE-2026-109619）の2件で、組み合わせは「PHP2shell」と呼ばれる。悪用されると、遠隔の第三者に任意のコードを実行されるおそれがある。
修正版は PHP 8.2.35・8.3.36・8.4.27・8.5.12 で、それより前の各系統が影響を受ける。IPA は、調査に関わった Wiz 社の見解として、PHP 5.4 以降のバージョンが少なくともどちらかの影響を受けると記している。
大臣は、PHP が多くのウェブサイトで使われ、影響が広い範囲に及ぶ可能性があるとして、国家サイバー統括室（NCO）と連携し、22日に経産省が所管する約1000の業界団体などを通じて注意を呼びかけたと説明した。そのうえで、冒頭で表明したチームの立ち上げに改めて触れた。
公的機関の中に攻撃の能力を置く意味
IPA はこれまで、脆弱性の情報の取りまとめと注意喚起を大きな柱としてきた。今回のチームは、自ら攻撃の手を動かして弱点を探す能力を公的機関の中に置く試みで、役割の重心が一段前に出る。
AI が脆弱性の発見を速めるほど、見つかった穴が悪用されるまでの時間も縮む。注意喚起を出してから各社が更新するまでの間に攻撃が届く構図を変えるには、公表より先に自分で穴を見つけるしかない。大臣の「先手先手」という言葉は、その時間の争いを指している。
一方で、攻撃の技術を持つ人材を公的機関に集めることには、その人材をどう信頼し、どこまでの権限を与えるかという問題が伴う。大臣が「人材の信頼性の確保」に触れたのはこの点で、具体の仕組みはまだ示されていない。
次に見るもの
確認できる次の一点は、11月中に予定される IPA でのチーム発足の公表だ。人数や体制、どのシステムを試験の対象にするか、そして人材の信頼性をどう担保するかが、そこで初めて具体になる。経産省の閣議後の記者会見の記録と IPA の発表の一覧で、続報を追える。
ことば
- ペネトレーションテスト — 攻撃者と同じ手口で実際にシステムへ侵入を試み、弱点を確かめる試験。今回は高性能の AI を使って徹底的に行うとされた。
- 情報処理推進機構（IPA） — 経産省が所管する独立行政法人で、脆弱性の情報の取りまとめや注意喚起を担う。11月に AI で攻撃を試すチームを置く予定。
- PHP2shell — 10月21日に公表された PHP の脆弱性2件の組み合わせの呼び名。悪用されると遠隔から任意のコードを実行されうる。
🔗 一次ソース
