AI生成型ゼロデイ攻撃を世界初確認、Googleが警告─2要素認証バイパスでマス悪用直前

「AIが攻撃コードを書く時代って本当に来たの？」
「2要素認証があれば安心、じゃなくなった？」

チップス

ボス！AIが脆弱性を見つけて攻撃コードまで書くニュースを見たでしゅ。
2要素認証も突破されたって、もう何を信じればいいのか分からないでしゅ…

ボス

落ち着け、チップス。
Googleが今回つかんだのは、犯罪者がLLMでゼロデイを組み立てた最初の実例だ。
パスワード漏洩と組み合わせれば2要素認証も抜ける、という厄介な手口だな。

AIで攻撃が加速する、という話は何年も前から言われていました。
その「いつか」が、ついに実環境で観測された段階に入っています。
本記事では、Googleが2026年5月11日に公表したAI生成型ゼロデイの内容と、企業が今すぐ取るべき対応を整理します。

今までの対策が通用しなくなるラインを、できるだけ早く見極めましょう。

Googleが「世界初」と呼んだAI生成型ゼロデイの正体

2026年5月11日、Google Threat Intelligence Group(GTIG)が一本のブログ記事で大きな転換点を告げました。
犯罪集団が大規模言語モデル(LLM)を活用してゼロデイ攻撃を組み立てた、世界で初めて確認された実例という内容です。

標的と被害想定

標的になったのは、世界中の企業や個人で広く利用されているオープンソースのWebベースシステム管理ツールです。
具体的な製品名はGoogleが伏せていますが、有効な認証情報を入手した攻撃者が「2要素認証(2FA)バイパス」を成立させられるゼロデイでした。
マス展開直前にGTIGが開発元へ通報し、修正パッチ提供までこぎつけたため、現時点で大規模被害は確認されていません。

ポイントは以下の通りです。

チップス

えっ、パスワードが漏れてたら2段階認証も意味ないでしゅか…

ボス

そういうケースが現実に出てきた、という話だな。
「2FAがあるから大丈夫」では済まない時代になったわけだ。

攻撃コードに残された「AIの指紋」と日本企業への影響

GTIGがAI関与と断定した根拠は、攻撃コードに残された特徴的な痕跡です。
従来の攻撃者ツールには出てこない、教科書的に整いすぎたPythonの構造が決め手になりました。

LLM特有の痕跡パターン

GTIGが指摘したのは、過剰な学習用ドックストリング、ハルシネーション由来のCVSSスコア、教科書的にきれいなクラス設計、丁寧すぎるヘルプメニューといった要素です。
これらはLLM出力に特徴的に出るパターンであり、攻撃者が手書きしたコードとは明らかに毛色が違います。

日本企業が今やるべきこと

AIによる脆弱性発見と攻撃コード生成のサイクルが、これからどんどん短くなります。
パッチ適用まで数日かかる運用体制では追いつけません。
日本企業も、認証情報漏洩を前提にした「ゼロトラスト寄り」の設計と、SBOM(ソフトウェア部品表)による依存関係の可視化を急ぐべきです。

具体的に強化したい運用ポイントは以下の通りです。

チップス

うちの会社、まだメール+SMSで2段階認証してるでしゅ…大丈夫でしゅかね。

ボス

SMSは突破手段がもう市販されている世界だ。
パスキー対応の検討は急いだ方がいい。

詳細はThe Hacker Newsの報道を参照してください。

まとめ：AI攻撃の「ふつう化」が始まった

AI生成のマルウェアやフィッシング文面は以前からありました。
ですが、ゼロデイそのものをLLMで組み立てる段階に来た意味は重いです。
「特殊な攻撃者だけがやる芸当」だった脆弱性発見が、安価かつ大量に走り始める入口にいま立っています。

チップス

ちょっと怖くなってきたでしゅ…でも知らないままよりは知ってる方がマシでしゅね。

ボス

その姿勢でいい。怖がるより準備するんだ。
パスキー、SBOM、行動検知。この3つから始めれば守りは厚くなる。

セキュリティ人材の不足も、AI時代には致命的になります。
外部のセキュリティフリーランスを活用して、対応スピードを底上げするのもひとつの解です。