セキュリティの両側に、いまAIがいる

2026年1月、シュヴィーツ州警察は、数年前なら作り話のように聞こえたであろう事件を報告しました。2週間にわたり、犯罪者たちは地元企業のオーナーに電話をかけ、AIで加工した声で、彼が知る取引先になりすましました。極秘の国際取引という名目のもと、オーナーはアジアの口座へ、合わせて数百万フランにのぼる送金を複数回行いました。詐欺に気づいたのは、お金がすでに消えた後でした。

これが今日のセキュリティの一方の側、AIを使う攻撃者です。もう一方の側は企業の内部にあります。そこではエージェントがメールを読み、鍵を持ち、外へ何かを送り出しています。企業はその両方に備えなければなりません。私たちは自社の仕事のためにも、クライアントのためにもエージェントを構築しているので、どちらの側も私たちにとって抽象的な話ではありません。

聞き覚えのある声

シュヴィーツの事件は孤立したものではありません。2025年2月、Reutersは、詐欺師がイタリアの国防相Guido Crosetto氏の声を複製し、誘拐されたジャーナリストを解放するための資金を経営者たちに求めたと報じました。インテル・ミラノの元オーナーMassimo Moratti氏は100万ユーロ近くを送金し、その後、警察がオランダの口座まで追跡して凍結しました。

FBIはいまや、こうした事件を独立して集計しています。2025年のインターネット犯罪に関する報告書には、AIに言及した22'000件以上の苦情が記載され、調整後の損失額は8億9300万ドルを超えています。報告書は、多くの被害者がAIがどこまで関与していたかに気づいていないとも指摘しています。企業は、説得力のあるメッセージや複製された声が支払いを求める、AIの要素を含むメール詐欺で3000万ドル以上を失いました。FBIはまた、なりすましの声、場合によってはディープフェイクを使った採用面接についても記述しています。その多くは、企業のネットワークへのアクセスを得ることが目的です。

誤字のないフィッシング

文章による攻撃も、同じくらい変わりました。MicrosoftのDigital Defense Report 2025によると、AIで自動化されたフィッシングメールのクリック率は54パーセントで、通常のものは12パーセントでした。EUのサイバーセキュリティ機関ENISAは2025年10月、2025年初めまでに、世界で観測されたソーシャルエンジニアリング活動の80パーセント超をAIを活用したフィッシングが占めていたと報告されている、と書いています。

攻撃者は侵入そのものにもAIを使っています。2025年11月、Anthropicは、中国の国家支援グループによるものと高い確度で判断したキャンペーンを報告しました。このグループはClaude Codeを使って約30の組織を狙い、作業の80〜90パーセントをAIに任せていました。成功したのは少数のケースでした。OWASPによる2026年第1四半期のまとめは、メキシコの政府機関への侵入事件を加えています。攻撃者はClaudeを、時にはChatGPTも使ったと報じられています。

ぎこちない文や不自然な声といった、かつての警告サインはもう通用しません。信頼は感覚からではなく、プロセスから生まれなければなりません。

行動する言葉

企業の内部では、リスクは別の形をとります。間違った答えを返すチャットボットは、恥ずかしい失敗で済みます。間違った行動をとるエージェントは、インシデントです。中心にある弱点はプロンプトインジェクションで、言語モデル上に構築されたアプリケーションのリスクをまとめたOWASPの2025年版リストで第1位に挙げられています。Webページ、ファイル、メールに隠された指示を、モデルが読み取り、従ってしまうというものです。

英国の国家サイバーセキュリティセンター（NCSC）は2025年12月、なぜこれほど根強いのかを説明しました。言語モデルは指示とデータの境界を強制しないため、プロンプトインジェクションはSQLインジェクションのように完全に緩和されることはないかもしれません。取り組むべきは、リスクとその影響を減らすことです。開発者のSimon Willison氏は2025年6月、危険な組み合わせを名指ししました。非公開のデータ、信頼できないコンテンツ、そして外部と通信する手段です。この3つをすべて備えたエージェントは、見知らぬ誰かが書いた文章ひとつで、手元のデータを外へ送るよう仕向けられかねません。

鍵を持つエージェント

実際のインシデントも、この形をなぞっています。2025年6月、Aim Labsは、たった1通のメールで、被害者がクリックしなくてもMicrosoft 365 Copilotに内部データを漏えいさせられることを示しました。Microsoftはすでに修正しており、悪用の証拠は確認されていませんでした。2026年8月には、VaronisがCopilot Personalの一連の欠陥CoSnitchを公表しました。細工された1つのリンクが被害者のセッションで攻撃者のプロンプトを実行し、Gmail、Google Drive、Google Calendar、OneDriveへの接続を使い、Copilot自身のWebページ取得機能を通じて結果を外部へ送り出したのです。仕込まれた指示は、パスワード変更後もメモリに残り続けました。研究者たちによれば、崩れた前提は、コネクターへのすべての呼び出しがユーザーから来ているというものでした。

コネクターはサプライヤーであり、サプライヤーとしてのリスクを伴います。2025年9月、npmレジストリ上で、メールサービスPostmarkのMCPサーバーを装ったパッケージが、問題のないバージョンを15回公開した後、送信されるすべてのメールを攻撃者にコピーする1行を追加しました。Koi Securityが警告を出した時点で、1週間で約1'500回ダウンロードされていました。

2025年12月に公開されたOWASPのエージェント型アプリケーション向けTop 10は、目標の乗っ取りやツールの誤用から、汚染されたメモリ、暴走するエージェントまで、こうしたリスクを名指ししています。2026年第3四半期のまとめは、冷静な指摘を加えています。エージェントは与えられたタスクを遂行するだけで害をなすことがあり、過剰な権限は小さな失敗を大きな失敗に変える、というものです。プロンプト内の指示だけでは、安全な境界にはなりません。

持ちこたえる防御

どちらの側でも、効果のある防御にはひとつの共通する考え方があります。人であれモデルであれ、誰かがその場でトリックを見抜くことに頼らないことです。だまされた人や誤った方向へ導かれたエージェントにできることを、制限するのです。

人に関しては、シュヴィーツ州警察が有効な対策を挙げています。緊急または通常と異なる支払いは、独立した別のチャネルで確認すること。高額の支払いは必ず2人の目で確認すること。文書化された承認なしに海外へ送金しないこと。

エージェントに関しては、それぞれに仕事に必要な最小限のアクセスだけを与えましょう。NCSCによれば、モデルがある当事者のコンテンツを読むとき、その権限はその当事者の権限まで引き下げられるべきです。危険な3つの組み合わせを断ち切りましょう。送信、支払い、公開、削除は、モデルが言葉巧みに通り抜けることのできないゲートの向こうに置きましょう。すべての書き込みは依頼した本人のIDで実行し、認証情報は手の届かない場所に置き、すべてのコネクターを新しいサプライヤーのように扱い、エージェントが何を言ったかだけでなく、何をしたかを記録しましょう。

定型的なチェックや読み込みはAIに任せられます。人に残るのは、依頼に違和感を覚えたときに立ち止まること、折り返し電話をかけるという判断、そして署名する人の責任です。

私たちのつくり方

bexio向けの私たちのコネクターKontorは、ホスト型のMCPサーバーです。そのためノートパソコンに鍵が置かれることはなく、一人ひとりが自分のログインでサインインします。送信、支払い、督促は、そもそもアシスタントには使えません。Twinは同じルールを会社全体に適用します。役割に応じたアクセス、ユーザーごとにサインインして行うすべての書き込み、そしてすべてのステップの記録です。

外部とのいかなる接続も許されないほど重要なデータには、パートナーのEigna Labsが構築したEignaがあります。企業ごとのプライベートモデルを、その企業自身のクラウドやサーバー上で動かすもので、閉じたネットワークで完全にオフラインで稼働するよう設計され、ハッキングや攻撃の依頼を拒否するよう訓練されています。そして、音声アシスタントとボイスクローンのための私たちのプロダクトTimbreは、話者の同意がある場合にのみ声を複製します。

企業は今週から始められます。すべての支払い依頼に折り返し確認のルールを設け、聞き覚えのある声はもはや証拠にならないことを全チームに伝え、すべてのエージェントとコネクターを保有するアクセス権とともに一覧にし、必要のない権限は取り上げましょう。