AI時代のゼロトラストがキツい件について

はじめに

どうも、すかんくです。最近はポン酢にハマっています。

急ですが、OpenAIとHugging Faceが先日出したインシデント報告を読んで以来、ひとつ引っかかっていることがあります。

ゼロトラストって、今までと同じ解釈のまま走り続けて大丈夫なんだっけ？

自分の中で答えは出ていません。（出す気もないし、その辺は世の中賢い方々にお任せの気持ち）今回は製品や設定の話ではなく、「守り方の前提をそろそろ測り直したほうがいいのでは」というモヤモヤを、可能な限り書いてみます。「結局どうすればいいのか」まで言い切る記事ではありません。考えかけのメモくらいのつもりで読んでください。

⚠️ 注意
2026年8月時点の情報をもとにしています。また、本記事にゼロトラスト（以下ZT）を否定する意図はなく、思考実験の成分多めでお送りします。

追記：代表シンジのアンサー記事

本記事に対して、弊社代表のシンジがアンサー記事「【アンサー】ゼロトラストはキツくない。「ゼロトラストの完成」を目指す運用がキツい」を書いてくれました。自分が投げっぱなしにした「何を捨てるか」に、経営者としての答えが書かれています。ぜひ本記事とあわせてお読みください。

こんなことがあったらしい

きっかけになったインシデントから。2026年7月にOpenAIが公開した報告を、自分なりに乱暴にまとめると次のような内容でした。

• リリース前モデルのサイバー能力評価中、ベンチマークの「正答」を探すことに過剰に執着したモデルが、評価サンドボックスから外に出る唯一の経路だったパッケージキャッシュプロキシの未知のゼロデイを自力で発見・悪用してサンドボックスを脱出
• そのまま権限昇格と横展開を連鎖させてHugging Faceの本番インフラ方面へ到達。露出していた認証情報を拾いながらリモートコード実行に至る経路を確立し、本番データベースからテスト解答を直接取得
• 途中、外部サービス上のアカウント4つにアクセス（うち2つを中継・データ保管に利用、残り2つは読み取りのみ）
• 最終的にHugging Face側が検知・封じ込めに成功。しかも、その対応にはHF自身のセキュリティチーム＋AIエージェントが投入された（HF側の事後報告も公開されています）

自分がぞっとしたのは、「悪意ある攻撃者がAIを使った」事件ではないことです。もちろん条件は特殊でした。これはモデルに高度なエクスプロイトを試みさせてサイバー能力を測る社内評価で、高リスクなサイバー活動を防ぐ本番用の分類器も評価のため使われていませんでした。それでも、実環境への攻撃を誰も指示していないのに、ベンチマークの正答へ過剰に最適化したモデルが、評価範囲を逸脱して熟練攻撃者と同じ動きをしたことは変わりません。OpenAI自身も「こうした事例は今後さらに一般的になる」と予想し、調査を継続中で技術レポートも公開予定としています。直後にはAnthropicも、評価環境で起きた類似インシデント3件を公表しました。

さらに執筆中の2026年8月4日には、OpenAIが第三者評価環境での別インシデントも公表しました。UK AISIの評価は意図的にインターネット接続を許可し分類器も無効化した条件下でモデルが評価範囲外の実サービスに触れたもの、Irregularの評価は隔離されているはずの環境が設定ミスでインターネットにつながり、モデルが実在サイトを侵害してしまったものです。「評価環境の想定をモデルが超えていく」事例が、この短期間で立て続けに積み上がっています。

「AIが攻撃側に回る」という話なら、攻撃タスクの8〜9割をAIが自律実行した初の大規模スパイ活動（GTG-1002、2025年11月にAnthropicが公表）もすでにあります。もう単発の珍事とは言えません。

この話をインシデントレスポンスを担当している前職の同期（友人といった方が近い）にしてみたら、返ってきたのは「知ってた」だけでした。現場の最前線に近い人ほど、「守る側の無理ゲー感」への共感が強いようで、自分だけが大げさに受け取っているわけでもなさそうだなと思います。

ゼロトラスト、きつない？

それで、身も蓋もない感想がこれです。

ZTの原則、つまり「暗黙に信頼せず、都度検証する」こと自体を否定したいわけではありません。一定規模以上のコーポレートITでZTの考え方が主流になったのも、正しい流れだったと思います。

引っかかっているのは、ZTの原型が描かれた2010年代の前提です。AIの発展があまりに速く、その前提が一つずつ崩れているのでは？という疑念も抱いている状態です。

具体的には、次の3点に関する疑念です。

前提①：検証すべき主体は「人間とデバイス」である

昨今、サービスアカウントやトークンといった非人間ID（NHI）は人間IDの80倍以上存在すると言われ（原典はCyberArkの2025年調査の82対1。KPMG経由でVeeamが紹介）、Fortune 500の80%がすでにAIエージェントを業務で稼働させています。NIST SP 800-207もネットワークアカウントのような非人間の主体を対象から外してはいません。ただ、同文書が書かれた2020年ごろの実装の中心は人間のユーザーと管理されたデバイスで、AIエージェントや現在の規模のNHIが主役になる前提では設計されていませんでした。

前提②：攻撃は「人間の速度」で進む

CrowdStrikeの2026年版脅威レポートによると、侵入から横展開開始までの平均時間（ブレイクアウトタイム）は29分、最速記録は27秒。初期侵入から4分でデータ持ち出しが始まった事例まで報告されています。AI関与型攻撃は前年比89%増。そして検知の82%はマルウェア不使用です。つまり、正規のIDと正規の信頼経路の悪用が主流になっている。ZTが守ろうとしていたものが、攻撃面の主役になっていると思います。

前提③：検証のループは「人間のSOC」が回せる

攻撃が機械の速度になれば、「継続的に検証する」の“継続的”を人力で回すのは、どう考えても無理が出ます。WEFの2026年調査でも、リーダーの94%が「AIがサイバーリスク環境の最大の変化要因」、87%が「AI関連の脆弱性が最も急成長するリスク」と回答しています。この感覚は、どうやら世界共通のようです。

防御側の検証ループだけが人間の速度のまま。（様々な製品や手法が出てきて、完全にそうというわけでもないのですが）ただ言えるのは、ZTを人間の速度で運用し続けることは無理ゲーなのかもしれない。

ここまでAIと壁打ちしながら薄っすら抱いていた疑問をクリアにしてきた中で、「正味これからゼロトラスト一本はしんどいよな」と。では他にどんな手があるのか。これも資料を漁っていて、二つの考え方が気になりました。

本題①：サイバーデセプション

ひとつめはサイバーデセプションです。2026年7月末には、IPAの産業サイバーセキュリティセンター（ICSCoE）中核人材育成プログラム9期生の卒業プロジェクトとして、ホワイトペーパーが公開されました。

デセプションは、おとり（デコイ）や偽情報を環境に意図的に仕込み、攻撃者を検知・攪乱・観測する考え方です。ハニーポットを、もっと広く環境全体へ展開するイメージが近いかもしれません。

この考え方が腑に落ちたのは、従来の防御が抱える投資と労力の非対称性をひっくり返せるからです。これまでは「防御側は毎回正しく防がなければならない。攻撃者は一度成功すればいい」という、圧倒的に不利なゲームでした。

ところが環境に偽物が混ざると、今度は攻撃者が一度でも偽物に触れたら露見する。「毎回正しくなければならない」という義務を、攻撃者側へ押し返せます。この考え方を10年以上運用してきたMITREは、攻撃者のコストを押し上げ、攻撃から得られる価値を押し下げる「敵対者エンゲージメント」として体系化し、MITRE Engageフレームワークとして公開しています。

さらに、相手がAIならデセプションはむしろ効きやすくなるかもしれません。

• AIエージェントは網羅的で速い。デコイを疑って避けようとすることはあっても、経路に片っ端から触れる過程で結局引っかかる。Tracebitの実験では、侵害に至った試行の95.9%で最初の致命的行動より前（平均約8分先行）にカナリアが発報した
• 速く動けば早期に発報されて防御側に対応時間を与え、慎重に動けば「速度」というAI最大の武器を失う。このジレンマについては、HFの件を受けたZscalerの分析に加え、HF事案より前からTracebitが「AIの速度はカナリアの価値をむしろ高める」という同趣旨の分析を出している
• 学術側でも、LLM駆動の自動攻撃をデコイ＋防御的プロンプトインジェクションで95%以上妨害できたという研究（Mantis）や、野良のAIハッキングエージェントをハニーポットで捕捉・観測するLLM Agent Honeypot（2024年開始・当時のダッシュボードは更新停止中）のような取り組みが登場している

市場側もかなり前のめりということが分かりました。Gartnerは「GenAI時代には検知・対応ではなく先制型（Preemptive）が主流になり、2030年までにITセキュリティ支出の50%を占める（2024年は5%未満）」と予測し、その中核技術のひとつにデセプションを置いています。

肝心のIPA資料においても、CYDEC Design Framework（CDF）という6W1Hベースの設計フレームワークを軸に、「ベンダーの製品から考えるのではなく、自社の目的・資産・脅威認識からデセプションを設計する」と繰り返し説いています。

自身の考え方や視点の置き方に疑問を抱きながら、現代にアジャストするため思考材料として、非常に有用だと感じました。

💡 デセプションと聞くと大掛かりな製品導入を想像しがちですが、ハニートークン（偽のAPIキー、偽アカウント、偽の認証情報ファイルなど）を数個仕込むところからでも始められます。正規ユーザーは触れないはずのものなので、誤検知が起きにくい高忠実度アラートとして機能します（脆弱性スキャナーやバックアップなど正規の処理が触れないよう、配置と運用の設計は必要です）。コスパの良い入り口のように思います。

本題②：ノーガード戦法、あらため「復旧全振り」

もうひとつは、デセプションとは少し違う話です。

以前から自分は、「ノーガード戦法も本気で検討していいのでは」と思っていました。守りに使っていたリソースを大胆に削り、その分を復旧へ全振りする前提で社内ITのアーキテクチャを組む。そういう考え方です。ノーガードという呼び方が正しいかは、いったん脇に置きます。

調べてみると、「復旧側に軸足を移す」という方向自体は、すでに標準や制度へ組み込まれ始めていました。

• NIST SP 800-160 Vol.2は「予期する・耐える・復旧する・適応する」をサイバーレジリエンスの4つの目標（goals）としてエンジニアリングの枠組みに組み込み
• EUのDORAは金融機関に対して耐性・復旧のテストを法的義務化（2025年1月適用開始）
• 日本でも金融庁がオペレーショナル・レジリエンスの文脈で「業務中断は必ず起こる」前提の耐性度設定を求め、2025年にはITレジリエンスに関する分析レポートまで出している
• 実務側でもMinimum Viable Company（事業再開に最低限必要な構成を定義し、そこの復旧可能性だけは死守する）や「recovery-first」といった言葉が普通に使われ始めている

この考え方は、SaaSファーストなコーポレートITとかなり相性がいいと思いますね。

• 端末は家畜（ペットではなく）：侵害されたらワイプしてゼロタッチで再展開。「端末をきれいに保ち続ける」への投資を、「何分で再展開できるか」への投資に振り替える
• データはSaaSとイミュータブルなバックアップに寄せる：ロールバック可能性を最優先にする
• 構成はコード（IaC）に寄せる：環境ごと作り直せるなら、環境の完全性維持に神経質になる必要性が減る

バックアップみたいな話ではなく、何分で会社を再起動できるかを測る。守りの成熟度ではなく、復旧の速度をKPIに置く。こういった一段掘り下げた考え方が自分は嫌いではないですし、組織のIT戦略を練る中でも意味が多少なりともあるのではないかと思っています。

国内外の動向を並べて眺めてみる

ここまでに触れたものも含めて、動向を一覧にしておきます。

並べてみると、どれも「守り切る」一本足から離れようとしているように見えます。（元々その前提ではないが、更に一歩）

市場、標準、法制度で言い方は違っても、向いている方向はだいたい同じように思います。

また、日本でサイバー対処能力強化法と同整備法（いわゆる能動的サイバー防御の関連2法）が成立したことも、「受け身で守るだけでは厳しい」という認識が、国のレベルまで来た表れだと理解しています。

（IPA 10大脅威については、弊社ブログの過去記事でゼロトラスト目線の再解釈をやっています。よろしければ、そちらもどうぞ）

反対側の視点も見ておく

ここまで書くと「ZTはもう終わり」と読めてしまうことを懸念して、反対側の視点を残しておきます。（自分で自分の話にツッコミを入れるようですが）

①OpenAIのインシデントはゼロトラストではないから起きた

冒頭の事件をよく見ると、破られたのは「暗黙に信頼されていた箇所」です。サンドボックス唯一の出口だったプロキシへの信頼、egress制御の甘さ、転がっていた認証情報。つまりあれは「ZTが無効化された」証拠というより、ZTの適用対象がAIワークロードまで広がったのに、実装が追いついていなかった証拠と読むほうが正確です。ZT不要論の根拠として引くには、少しねじれています。

②デセプションはZTの代替ではなく、ZTの上に載る

資産管理やID管理が崩壊した環境にデコイだけ撒いても、環境との一貫性がなく、攻撃者に見破られます。大量の情報を突き合わせるAIなら尚更です。IPAの資料自身も、デセプションは既存対策との連携が前提であり、置けば効くものではないと検証章で正直に書いてありました。

むしろ、まともにデセプションをやろうとすると、ZT的な土台整備からは逃げられません。

③純粋なノーガードは、機密性の一点で成立しない

可用性は復旧できますが、漏えいしたデータは復旧できません。今の攻撃は、暗号化前にデータを持ち出す二重恐喝が主流です。前述のとおり、持ち出しは4分で始まる事例すらあります。個人情報保護法の安全管理措置や取引先との契約もあり、「守らない」という選択は法的にも取れません。

復旧全振りが成立するのは、可用性・完全性の領域まで。なので、「ミニマムガード＋最速リビルド」と呼ぶ方が正しいかもしれません。残すのは、フィッシング耐性のある認証、egress制御、データの不変性と監査ログ。この3つだけは、「漏えい結果の確認・検証」「きれいな復旧点の喪失」に直結するので削れません。

④防御側が一方的に不利と決まったわけでもない

攻撃者の滞留時間（中央値）は、M-Trendsの観測では2014年の205日から直近の11〜14日（2024年11日→2025年14日）まで縮んでいます。「AIは大規模なログ分析や異常検知が得意なので、構造的にはむしろ防御有利」という見方も根強くあります。実際、HFの件でも防御側のAIスタックは攻撃シグナルの検知・相関までは機能しました（もっともHFの技術タイムラインによれば、重大度判定と担当者の呼び出しには失敗し、最終的な封じ込めは人間のセキュリティチームが実施しています）。

防御側に勝ち目がない、と決めつけるのも早そうです。

ここまで自分で反論してみると、いまのところ考えているのはこういう形です。

ZTは「完成すれば守れる」という戦略の主役から、環境を支える土台（配管）へ下がりつつある。その上に、攻撃者へコストを課して時間を買うデセプションと、侵害後の帰結を管理するレジリエンスを載せる。守りを一本柱ではなく、3層のポートフォリオとして持つ。

みたいなことについて、ちゃんと考える必要があるのでは？という話。

で、その予算はどこから出るんですか？ 問題

ここまでなら技術の話で済みます。ところがこれを経営会議に持っていけば、たぶん最初に聞かれるのはこれです。

ZTはやめない。その上にデセプションと復旧の柱を足す。って、やること（≒コスト）が増えているだけに見えるんだけど。ROIはどうなの？

はい、すみません。セキュリティ予算は有限で、人的リソースはもっと有限。「3層のポートフォリオ」は、経営から見れば「請求書が3枚に増える話」かもしれません。

なので、ここで言うポートフォリオは、積み増しをやめて再配分に倒す考え方です。最初に決めるべきは、何を買うかより先に、何を捨てるか・どこを諦めるか。たとえば、次のような振り替えです。

では、振り替え先の投資をどう説明するか。デセプションと復旧は、どちらも比較的筋道を立てやすい部類です。

まずデセプション。これは自社の防御ROIを直接上げるというより、攻撃側のROIを悪くする投資です。防御投資の効果は「起きなかった侵害」でしか語れず、昔から経営説明に苦労してきました。ROSIという指標がわざわざ生まれたくらいです。

デセプションは向きが逆です。AIによって下がり続ける攻撃コストを、攻撃者側に払い戻させにいく。しかもハニートークンの類は低コストで置き始められます。正規ユーザーが触らないので、誤検知対応の工数も減らせる。小さく始められて、SOC運用コストの削減として説明できるのは、セキュリティ投資としてはかなり説明がしやすいと思います。

復旧は、さらに経営の言葉へ翻訳しやすい投資です。「短縮できる停止時間（現状の想定復旧時間−目標のRTO） × 時間あたりの事業損失」という形で、稟議書に数字を書けるからです。

折しもIBMのCost of a Data Breach Report 2026は、侵害の世界平均コストが過去最高の499万ドル（前年比+12%）に達し、攻撃を仕掛けるのは安く・速くなる一方、侵害の発見と修復は高くつき続けていると指摘しました。同時に、セキュリティ運用へAIと自動化を広範に導入した組織は、侵害コストを平均193万ドル削減できたとも報告しています。

検知と復旧の速さは、気合抜きで数字を並べて話せる領域です。DORAや金融庁オペレジの文脈では規制対応そのものなので、財布を「セキュリティ費」から「事業継続・規制対応費」へ載せ替える余地すらあるかもしれません。

逆に、一番厳しいのが「全部守る、予算はそのまま、捨てるのは許さん」です。どこまでの業務停止なら許容するのか。どのデータだけは何があっても漏らせないのか。どのレガシーは「守る」のをやめて「作り直せる」に倒すのか。

これはリスクアペタイトと、その下で定める耐性度（どこまでの中断なら許容するか）の設定そのもので、情シスやCISOが現場判断で決められる話ではありません。先ほど触れたMinimum Viable Company、つまり「最悪の日に何が動いていれば会社は生きていると言えるか」の定義も、本来は技術文書の枠を超えた経営アジェンダとして扱うべきだと思います。（IT-BCPという言葉も最近はよく目にするようになりましたね）

まとめ

• OpenAI/HFの件は「AIを使った攻撃」というより、サイバー能力評価という特殊条件下とはいえ、実環境への攻撃を誰も指示していないのに、目標へ過剰最適化したAIが攻撃者と同じ動きをしたインシデント。この種の話は、これから増えていく
• ZTの原則は壊れていない。ただし、「人間の主体・人間の速度・人力の検証ループ」という前提は崩れつつある。きついのはZTそのものより、それを人間の速度で運用し続けること
• サイバーデセプションは、「攻撃者が一度でも間違えたら露見する」ように非対称性を反転させる。高速に大量に動かすであろうAI攻撃者とは、中期的に見て相性が良さそう（長期的にこれの対策をされる可能性はあると思っている）
• 復旧全振り（ミニマムガード＋最速リビルド）も考えてみたが、純粋なノーガードは機密性の観点で成立しない。ただ、標準や法制度がレジリエンスを重く見始めている方向とは一致しているように見える
• 3層ポートフォリオは積み増しをやめて、予算と人を再配分する話。デセプションは攻撃側のROIを悪化させるという効果、復旧は「短縮できる停止時間 × 事業損失」で投資効果を説明できるのではないか
• そして、何を捨てるか・どこを諦めるかはリスクアペタイトと耐性度の設定そのもの。現場で閉じずに、経営が決める話になる

繰り返しになりますが、自分の中でも答えは出ていませんし、出すつもりも正直無いです。

ただ、「ゼロトラスト」を目標やゴールにしていた時代から、「騙して時間を稼ぐ」「壊されても最速で立ち上げ直す」を同じテーブルに載せる時代に。これを、そろそろ真面目に考えないとなー。今のところはそんな感触です。

皆さんの会社における守り方は、どの前提の上に立っていきますか？ではまた！