生成AIでサイバー犯罪は激化したか｜研究の実像

「生成AIでサイバー攻撃が高度化する」という前提は、少なくとも地下フォーラムの実態には当てはまっていません。ケンブリッジ大学・エディンバラ大学・ストラスクライド大学の研究チームが、サイバー犯罪フォーラムの投稿1億件超を分析した査読前研究を公開しました。結論は拍子抜けするほど地味で、AIの利用を実際に語っているスレッドはごく一部。犯罪者向けとされる「WormGPT」の議論に至っては、どの時点でも25スレッドに届いていませんでした。

ただしこの研究は「安心してよい」という話ではありません。研究者が本当に警告しているのは、攻撃側のAIではなく、防御側・一般企業が急いで導入している「守りの甘いAIシステム」のほうです。ここは日本の情シスにとって、IPA「情報セキュリティ10大脅威 2026」で第3位に初選出された「AIの利用をめぐるサイバーリスク」とそのまま重なります。

この記事でわかること

  • 地下フォーラムでの生成AI採用が、実際どの程度だったのかという具体的な数字
  • 「AIが初心者の敷居を下げる」という予測が、なぜ現時点で外れているのか
  • それでもAIが実際に使われている領域（＝量的な増幅が起きている場所）
  • この研究を経営層説明・ベンダー提案の目利き・予算配分にどう使うか
  • 査読前研究として、どこまで信じてよいか（限界と注意点）

どんな研究なのか

論文タイトルは「Stand-Alone Complex or Vibercrime? Exploring the adoption and innovation of GenAI tools, coding assistants, and agents within cybercrime ecosystems」。著者は Jack Hughes、Ben Collier、Daniel R. Thomas の3氏で、2026年3月31日にarXivへ投稿、2026年8月13日に第2版が公開されました。arXivのプレプリント（査読前）であり、結論は今後変わりうる点を先に押さえてください。

使われたデータは CrimeBB です。CrimeBBとは、ケンブリッジ大学サイバー犯罪センターが地下フォーラムやダークウェブ掲示板の投稿を継続的に収集しているデータセットで、15年以上・1億件超の投稿を含みます。研究チームはChatGPT公開（2022年11月）以降のAI関連スレッドを抽出し、2025年12月までの97,895スレッド、第2版では2026年7月までの175,290スレッドを分析対象としました。対象フォーラムはアカウント不正、SEO詐欺、ロマンス詐欺、いわゆる「不労所得」スキームなど、犯罪類型が幅広く混在しています。

著者らはAIによる破壊の上限と下限を2つの造語で挟みました。上限が Stand-Alone Complex（「犯罪組織まるごと一式」が箱で手に入り、個人が既存のサイバー犯罪サービスをほぼ自動化してしまう世界）、下限が Vibercrime（自然言語でコードを書かせる「vibe coding」で参入障壁は下がるが、犯罪の経済構造そのものは変わらない世界）です。

実データが支持したのは、下限の Vibercrime 側でした。しかも著者らは末尾で「Vibercriminalの台頭を嘆くことすら、現時点の破壊の度合いを過大評価しているかもしれない」と書いています。

数字で見ると、どのくらい使われていないのか

報道やベンダー資料の印象と最も食い違うのがこの部分です。主要な数字を整理します。

観点 実測結果
AI関連スレッドの量 抽出された122トピックのいずれも、月間100スレッドを超えなかった
実際の「利用」を語るスレッド AI関連スレッドのうち2.7%のみ（残り97.3%は「その他」に分類）
内訳 vibe codingツールの使用 1.9%／概念的な言及 0.4%／実務の変化を報告 0.2%／障壁の克服 0.1%
「Dark AI」の存在感 WormGPTへの言及は、どの時点でも25スレッド未満。話題の中心は一般的なChatGPT

象徴的なのが、Dark AI製品をめぐる当事者の発言です。ある販売者は自分の製品について「制限を外しただけのChatGPT」だと認めており、技術的な新規性はありませんでした。マルウェア開発にAIを使おうとする投稿は、フォーラム内の熟練者からむしろ嘲笑される対象になっていたといいます。

なぜ「初心者の敷居が下がる」は起きなかったのか

結論から言えば、AIは「知識」は渡せても「何を聞くべきか」は渡せなかったからです。研究チームが観測したフォーラムの議論には、3つの理由が繰り返し現れます。

1. 使いこなすには先に知識が要る

フォーラムの投稿者たちは「何を尋ねるか、そして何をやらせたいのかの原理を理解していることが決定的に重要だ」と語っていました。つまりAIから利益を得ているのは、すでに技術を持っている側です。低スキルの参加者にとっては、vibe codingで作らせるより既製のスクリプトを買ってくるほうが早く、確実でした。

2. AIが置き換えたのは「検索」だった

実際に報告されている効用は、エラーメッセージのGoogle検索、Stack Overflowの参照、チートシートの確認といった既存の調べ物の代替にとどまります。新しい攻撃能力の獲得ではなく、ソフトウェア開発の一般的な部分の時短であり、正規の開発現場で起きていることとほぼ同じです。

3. 入門者が求めていたのは知識よりコミュニティだった

ここが最も示唆的でした。新規参入者はハッキング技術そのものと同じくらい、サブカルチャーへの帰属や社会的なつながりを重視していました。「Dark AIが教師役になって初心者を量産する」というシナリオは、この社会的学習の構造を見落としていたわけです。犯罪者は指示書がほしかったのではなく、居場所がほしかった、という身も蓋もない話です。

著者らはさらに踏み込んで、AIシステムのガードレールが「初心者による大規模利用の摩擦を高める」うえで実際に有効に機能している証拠が得られたと評価しています。もっとも、ガードレール自体は万能ではありません。当サイトでもGUIエージェントのガードレールが説得によって崩れる研究を扱いました。「入門者の大量流入を防ぐ壁」としては効いているが「標的型の突破を防ぐ壁」としては別の話、と切り分けて理解するのが妥当でしょう。

では、AIは実際どこで使われているのか

「まったく使われていない」わけではありません。採用が確認されたのは、次のような領域です。

  • SEO詐欺…大量のコンテンツ生成が必要で、品質より量がものを言う領域。
  • SNSボットの量産…アカウントのプロフィールや投稿を自然に見せる用途。
  • ロマンス詐欺のメール生成…相手ごとに文面を変える手間を削減する用途。
  • 検知されやすいパターンの隠蔽…定型文を崩し、フィルタに引っかかりにくくする用途。

共通しているのは、いずれも既存の手口であり、AIが変えたのは「質」ではなく「量」と「コスト」だという点です。研究チームの表現を借りれば、既存の大規模・低利益な受動的収益スキームと単純な詐欺への早期採用にとどまります。

この「量の増幅」は、防御側の日常業務に直接効いてきます。文面のバリエーションが増えれば、パターンマッチ寄りの検知は苦しくなる。実際、スミッシング検知AIが文字の難読化だけで精度を落とす研究や、音声と映像からディープフェイクを判別する研究が示すように、検知側も「崩された入力」への耐性が課題になっています。

現場目線：この研究をどう使うか

正直なところ、この論文を読んで最初に感じたのは安堵ではなく気まずさでした。ここ2年ほど、社内資料や稟議に「生成AIによる攻撃の高度化に備える」と書いてきた身としては、その根拠がベンダー資料と報道の孫引きだったことを認めざるを得ないからです。裏を取らずに脅威の絵を描いていたのは、実は防御側だったのではないか、という反省があります。

そのうえで、この研究には実務的な使いどころが3つあります。

経営層への説明を精密にする

「AIで攻撃が激化する」という一言は、便利ですが予算の方向を誤らせます。実像は「新種の攻撃が増える」ではなく「既存の詐欺・スパムの物量が増える」です。この言い換えができると、対策の優先順位が「未知のAI攻撃への備え」から「詐欺メール・なりすまし対応の運用体力」と「自社AI導入のガバナンス」へ自然に移ります。数字（AI関連スレッドのうち利用実態は2.7%、WormGPT言及は25スレッド未満）を添えれば、説得力はさらに増します。

ベンダー提案の目利きに使う

「Dark AIによる攻撃に対抗する」を売り文句にする提案を受けたとき、この研究は有効な問い返しの材料になります。「その脅威の観測データはどこのものか」「WormGPT等の実利用はどの程度確認されているか」と一度聞いてみる価値があります。販売者自身が「制限を外しただけのChatGPT」と認めていた、という事実は交渉の場で効きます。

ただし過信もしない

この研究が見ているのは地下フォーラムのコミュニティであり、国家支援型アクターには一般化できません。「犯罪者はAIを使えていないらしい」を対策不要の根拠にするのは、逆方向の読み違いです。

研究者が本当に警告しているのは何か

著者の一人 Ben Collier 氏は報道で、差し迫った懸念は犯罪者のAI兵器化ではなく、企業や社会が「セキュリティの甘いAIシステム」を自ら導入し、新しい壊滅的な攻撃に自分の側から扉を開けてしまうことだと述べています。リスクの源泉は、犯罪者のイノベーションではなく、正規の産業側にある安全でないエージェント型AIと、AIが生成した脆弱なコードだという指摘です。

これは日本の状況とよく噛み合います。IPAの「情報セキュリティ10大脅威 2026」（2026年1月29日公開）では、組織向けの第3位に「AIの利用をめぐるサイバーリスク」が初選出されました。IPAはこのリスクを、利用者視点（機密情報の入力、出力の鵜呑み）、開発者視点（プロンプトインジェクション、データポイズニング）、社会的視点（フィッシングメールの大量生成、ディープフェイク詐欺）の3つに整理しています。3つのうち2つは、攻撃者ではなく自社の使い方・作り方の問題です。

自社で生成AIを業務に組み込んでいるなら、点検すべきはこちら側です。プロンプトインジェクションの死角である「状態汚染」攻撃や、RAGの参照文書を汚染するポイズニング攻撃のように、攻撃者の高度なAI活用を前提としなくても成立する脅威が既に具体化しています。

この研究をどこまで信じてよいか

査読前のプレプリントであることに加え、著者ら自身が明示している限界があります。実務判断に使う前に必ず押さえてください。

  • トピックモデリングの取りこぼし…検証対象の掲示板では43.7%のスレッドが外れ値に分類されており、話題の網羅性は完全ではありません。
  • 分類器の精度…AI利用と判定されたスレッドのうち、実際にAIやvibe codingを論じていたのは約80%。細かいカテゴリ分けの精度は「ほぼ一貫して不正確」と自己評価されています。したがって2.7%という数字は目安であって、小数点以下を論拠にすべき精度ではありません。
  • サンプリングの偏り…LLMで抽出したサンプルは、無作為抽出に比べAI採用の議論を過大に含む傾向があり、実際の普及率はさらに低い可能性があります。
  • 対象の限定…データは特定のサイバー犯罪コミュニティのみを表しており、国家支援型アクターや組織犯罪グループには一般化できません。
  • 時点の制約…第2版でも観測は2026年前半まで。エージェント型AIの実用化が進む局面で結論が変わる可能性は、著者らも否定していません。

情シスはどうすべきか

この研究を受けて新しい対策チェックリストを作る必要はありません。むしろ「攻撃側のAI」に割いていた注意を、「自社のAI利用」に振り直すのが、費用対効果の高い調整です。着手点としては、公的機関の整理された指針から入るのが確実です。

加えて実務的に効くのは、社内のAI利用状況の棚卸しです。どの業務でどのAIサービスに何を入力しているか、AIが生成したコードがどこまで本番に入っているか。攻撃者の動向より、こちらのほうが自社でコントロールできる分だけ投資効率が高いはずです。

まとめ

  • 地下フォーラム1億件超の分析では、犯罪者の生成AI活用は限定的だった。AI関連スレッドのうち実際の利用を語るのは2.7%程度、WormGPTへの言及は常に25スレッド未満で、AIは主に「検索とチートシートの代替」として既に技術を持つ者に使われていた。
  • 変わったのは質ではなく量。SEO詐欺、SNSボット、ロマンス詐欺メールなど既存手口の物量が増える方向であり、経営層への説明も「新種の攻撃」ではなく「既存詐欺の増幅」と言い換えるほうが正確。
  • 研究者の警告は防御側に向いている。本当のリスクは犯罪者のAIではなく、企業が急いで導入する守りの甘いAIシステムとAI生成コード。IPA10大脅威2026で第3位に初選出された「AIの利用をめぐるサイバーリスク」と方向は一致する。ただし本研究は査読前であり、国家支援型アクターには一般化できない点に注意。

出典

タイトルとURLをコピーしました