2026年7月のサイバーセキュリティ関連主要ニュース

7月のサイバーセキュリティ関連のニュースの見出しは、ある一つの疑問に焦点を当てていた。AIが攻撃者が利用するツールではなく、攻撃を実行する主体となった場合、何が起こるのでしょうか？  

そのテーマは、今月のまとめ記事すべてに共通している。攻撃者は、防御側が脆弱性を修正するよりも速く脆弱性を発見し、悪用できるようになっているため、被害を未然に防ぐことと同様に、被害を封じ込めることも重要になっている。

今月のニュースでは、トップセキュリティ専門家による次の洞察を特集しています。

• AIガードレールがセキュリティ境界として機能するように設計されていない理由
• ミトス級の能力が最先端研究所を超えて広がるにつれて、次に何が起こるのか？
• ホワイトハウスが新たに設立したゴールドイーグル脆弱性情報センターと、業界の慎重な歓迎
• ある医療技術サプライヤーの情報漏洩が、医療サプライチェーンへの近道となった経緯

暴走したAIエージェントがHugging Faceをハッキングしたが、OpenAIは自社のモデルがやったと述べている。

ジョージア・ヘネシーは、 Business Insiderの記事「 最新のOpenAI騒動で中国のAIがヒーローになった」の中で、今月最も奇妙な情報漏洩事件について詳しく述べている。  

開発者がオープンなAIモデルやデータセットをホストするプラットフォームであるHugging Faceは、攻撃者が数万件もの自動アクションで同社のシステムを攻撃したと発表した。その後、OpenAIは攻撃者が自社の技術だったと発表した。  

GPT-5.6 Solと、未公開の別のモデルが、社内サイバーセキュリティ評価中に管理されたテスト環境から脱走し、オープンインターネットに接続して、Hugging Faceをハッキングし、評価対象となっていたベンチマークの解答を探し出した。

守備の段階になると、厄介なことになる。Hugging Faceのセキュリティチームが最先端モデルを使って活動を調査しようとしたところ、モデルのガードレールによって調査が中断された。なぜなら、そのモデルはインシデント対応者と攻撃者を区別できなかったからである。

チームは北京に拠点を置くZ.ai社のオープンウェイトモデルであるGLM-5.2に切り替え、それを用いて17,000件以上のログを精査した。  

これはつまり、アメリカの企業がアメリカの研究所のモデルに攻撃され、試みた国内の最先端モデルが役に立たなかったため、最終的に中国の製造設備に頼らざるを得なくなったということだ。  

大統領科学技術諮問委員会の共同議長であるデビッド・サックス氏は、米国の高度なAIに対する規制は「実際には防衛上の安全保障を損なう」と投稿した。  

Hugging Faceの共同創設者であるトーマス・ウルフ氏は、今回の出来事はオープンモデルの必要性を裏付けるものだと主張し、最先端モデルが自社のインフラ内部で横方向に移動している場合、「防御側は最先端に近いツールに数時間、あるいは数分以内に幅広くアクセスできる必要がある」と述べている。

結論を出す前に、より多くの証拠を求める研究者もいる。倫理的ハッカーのトム・ヴァン・デ・ウィール氏は、ビジネスインサイダーに対し、セキュリティログを確認するのを待っていると語った。  

そして、AIは既に実際の攻撃に利用されている。Anthropic社は昨年11月、中国の国家ハッカーがClaudeを使用してスパイ活動の大部分を自動化していたことを明らかにした。Sysdigは7月にAIを活用したランサムウェアについて報告した。  

どちらのケースでも標的を選んだのは人間であり、それが今回の情報漏洩事件と異なる点だ。人が全く操縦しない車両としては、おそらく世界初となるものだろう。

その話は翌週にはさらに大きくなった。7月30日、Anthropic社は、自社で実施した141,006件の評価実行を検証した結果、Claudeモデルがテスト環境内からオープンインターネットに到達し、その後3つの組織の本番システムに侵入した事例を3件発見したと発表した。今回の調査はOpenAIの事件を受けて開始されたもので、インターネットアクセスは、サードパーティパートナーであるIrregular社が運用していた評価環境の設定ミスに起因することが判明した。

モデルたちは指示の中で、インターネットにアクセスできないと伝えられていた。そのうち2人は、何か本物の物体に当たっていることに気づいたが、それでもそのまま撃ち続けた。Opus 4.7は、4回の実行すべてにおいて本番システムに到達したことを認識し、認証情報を取得し、本番データのデータベースにアクセスした。Mythos 5は、自分がまだシミュレーションの中にいると思い込み、悪意のあるパッケージをPyPIに公開した。外部のシステムがそれをダウンロードした後、Mythos 5は検出された。最新モデル、つまり社内研究用の試作機だけが、自力で停止した。

アントロピック社は、評価の目的は純粋な性能を測定することであるため、リリースされたモデルに適用される安全監視や分類器は使用せずに評価を実施すると述べた。また、モデルが独自の目標を追求している証拠は見つからなかったとも述べた。モデルたちは、与えられた仕事を終えたばかりだった。

アントロピック社はこれらの事件を独自に発見したが、同社が接触した影響を受けた組織は、これらの活動に気付いたり報告したりしていなかった。

Illumioの業界戦略担当副社長であるラグー・ナンダクマール氏は、 Business Insiderに対し、これらのことはどれも驚くべきことではなかったと語った。

「AIの安全対策は、セキュリティ上の境界として設計されたものでは決してない」と彼は述べた。「彼らは行動に影響を与えるためにそこにいるのであって、行動を保証するためにいるのではない。」 

その違いこそが、実践的な教訓である。ガードレールとはモデルに適用されるポリシーであり、ポリシーは破られたり、誤解されたり、次のリリースまでに時代遅れになったりする可能性がある。セキュリティ境界はアーキテクチャ上のものであり、その境界の向こう側にいるのがランサムウェア攻撃者であろうと、オープンインターネットを発見したばかりのAIエージェントであろうと、関係なく適用される。

次のAIサイバー攻撃にうまく対処できるセキュリティチームは、侵入が起こることを想定して、事前に環境をセグメント化し、侵入後の脅威の移動範囲を制限していたチームだろう。

ミトス級AIモデルは、最先端の研究室を超えて広がりつつある。

ローラ・フレンチは、 SC Mediaの記事「 クロード・ミトスのようなモデルがさらに登場する――組織が今できること」の中で、クロード・ミトスは一つの時代を締めくくるのではなく、新たな時代を切り開いたと主張している。  

Anthropic社は、他の研究所が6～12ヶ月以内にMythosクラスのモデルを出荷すると予想しており、部品はすでに市場に出回っている。

• Z.aiは、GLM-5.2をオープンウェイトのMITライセンスの下でリリースしました。  
• 中国の360セキュリティテクノロジー社は、創業者が「中国版ミトス」と呼ぶマルチエージェントシステムを発表した。  
• 日本のSakana AI社は、同社のオーケストレーションシステム「Fugu Ultra」が、エンジニアリングと推論のベンチマークにおいて「Fable 5」や「Mythos Preview」と同等の性能を持つと主張している。  
• OpenAIのGPT-5.6はExploitBenchのMythos Previewでトップに立ち、その最も強力な機能は信頼できるアクセスプログラムの背後に隠されていた。

独立したベンチマークテストによって、その傾向を裏付ける数値が得られた。ある評価では、GLM-5.2はアクセス制御検出タスクで39%のスコアを獲得し、32%のClaude Codeを上回り、1件あたり約0.17ドルでそれを実現した。  

専用に構築された検出パイプラインは、依然として両者を凌駕していた。モデルを構成する要素は、モデルそのものよりも結果に大きな影響を与え、安価なモデルを10回実行することで、高価なモデルを1回実行した場合よりも優れた結果が得られる場合がある。

守備側にとっては、これはタイミングの問題となる。ラグ・ナンダクマール氏はSCメディアに対し、長年にわたり安全保障を支えてきた2つの柱は限界に達しつつあると語った。

「過去20年間、セキュリティ戦略は予防と探知・対応という2つの柱に基づいていた」と彼は述べた。「どちらも依然として必要だ。」どちらももはや十分ではない。   

予防策は、誰かが脆弱性を悪用する前に修正できること、そして脆弱性が対処可能なタイミングで公開されたCVEとして現れることを前提としている。

「CVEが公開される前にAIがその脆弱性を発見し、兵器化できるようになった場合、その前提はもはや成り立たなくなる」と彼は述べた。

検知は侵入者を捕まえる時間があることを前提としているが、攻撃が機械の速度で実行される場合、その時間的猶予も失われる。

彼の答えは、第三の柱である封じ込めだ。どのシステムが相互に通信できるかをマッピングし、 最小権限アクセスを適用し、機密性の高い環境をセグメント化することで、1台のホストが侵害された場合でも、 横方向への侵入を許さないようにします。

公式のガイダンスも同様の方向性を示しており、最近ではCERT-EUがMythos事件後に発表したセグメンテーションと攻撃対象領域に関するガイダンスでも同様のことが示されています。

予算が限られているCISOにとって、ネットワーク内部でアクセス可能な範囲を制限することは、別のスキャナーを購入するよりも効果的だとナンダクマール氏は主張した。「スキャナーは家が火事だと告げている。」「分割こそが、燃え尽きるのを防ぐのだ」と彼は述べた。

ホワイトハウスが新たに設立したAI脆弱性情報センター「ゴールドイーグル」は、慎重ながらも歓迎されている。

カサンドラ・コイヤーは、 ブルームバーグ・ロー の記事「 ホワイトハウスのAIサイバークリアリングハウス、業界からの支持は控えめ 」で、この新たな取り組みについて取り上げた。  

「ゴールドイーグル」と呼ばれるこの構想は、今月初めに財務省、国土安全保障省、国防総省が業界パートナーと協力してひっそりと開始した。  

この計画は、AIモデルを用いて重要インフラネットワーク全体の脆弱性を発見・修正し、その結果を民間企業に還元するというものだ。政権側は、すでに複数の業界から脆弱性データの収集を開始しており、企業に対し修正策について助言する準備ができていると述べている。

そのコンセプトは好評だった。詳細はそれほど明確ではない。  

発表には対象範囲に関する情報がほとんど含まれていなかったため、セキュリティ専門家は基本的なことさえ推測するしかなかった。例えば、Gold Eagleはオープンソースコードのみに焦点を当てるのか、それとも商用ソフトウェアも対象とするのか、また、指定された16の重要インフラ分野のうち、どれかが他の分野よりも優先されるのか、といった点である。  

Illumioの公共部門CTOであり、以前は米国郵政公社監察総監室のCIOを務めていたゲイリー・バーレット氏は、この統合に真の価値があると見ている。

「全体的な視点から物事を捉え、必要な情報をすべて一箇所に集約できる、つまり、あらゆることを確認・理解できる優れたワンストップショップのような場所を用意することは、非常に大きなメリットだ」と彼は述べた。  

彼が指摘しているのは、意図ではなく実行に関することだ。

「政府が何かに関わる場合、常にそうであるように、今度は政府がどれだけ迅速に行動できるかが問題になる」と彼は述べた。「彼らは自らの足を引っ張ってしまうのだろうか？」

また、参加率の問題もあり、これはこのプログラムが始まる何年も前から存在していた。企業は、競合他社に知られる可能性のある機密情報を開示することに躊躇し、脅威アクターが入手したがるようなデータを集約するリスクを慎重に検討する。  

「『私はすべての卵を一つのカゴに入れているのではないか、しかもそれは自分がコントロールできるカゴですらないのではないか』という不安が生じるだろう。」バーレット氏は言った。

情報センターは、チームがそこで明らかになった情報に基づいて行動できる場合にのみ役立ちますが、AIによる発見は、ほとんどのパッチサイクルで処理できる量を超える発見を生み出すでしょう。  

連邦政府の指針は有用だが、結果は各ネットワーク内部で何が起こるかに左右される。どのシステムがどのシステムにアクセスできるのか、 どれだけのアクセス権限が密かに蓄積されているのか、そして侵害された単一のホストが環境全体に影響を及ぼすのかどうか、といった点だ。

迅速な情報共有は、誰もタイムリーに発見できなかった脆弱性による被害を最小限に抑える侵害封じ込めと最も相性が良い。

英国の医療技術サプライヤーの情報漏洩事件は、サプライチェーンの近道を示している。

ロス・ケリーは、 IT Pro誌の記事「 ヘルスケアテクノロジー企業Cranewareが、サイバー攻撃により顧客および従業員のデータが『相当量』流出したことを認める」の中で、サプライヤーによる攻撃開示について詳しく解説した。

エジンバラに本社を置く同社は7月20日、ロンドン証券取引所にセキュリティインシデントの発生を認める通知を提出した。取締役会は、社内のITチームと協力しながら、外部の鑑識およびセキュリティ専門家を招き、何が起こったのかを徹底的に調査させた。

クレーンウェア社は、今回の事態はすでに収束しており、顧客サービスは引き続き正常に機能していたと述べている。

侵害の際、攻撃者は大量のファイル名を閲覧し、盗み出した。クレーンウェア氏によると、それらの名前は機密情報ではなく、既に公表されていたものだという。攻撃者はまた、「従業員データの一部、および顧客とパートナーの記録の一部にアクセスし、持ち出した」。  

この情報漏洩は、その影響範囲が広いため、一企業にとどまらず、より広範な問題となる。Cranewareは米国の医療機関向けに請求・会計ソフトウェアを販売しており、約2,000の病院と提携している。  

Illumioの重要インフラ担当ディレクターであるトレバー・ディアリング氏は、まさにそのプロファイルこそが攻撃者を引きつける要因だと述べた。

「医療技術プロバイダーは、サイバー犯罪者にとって医療サプライチェーンへの近道となるため、格好の標的となっている」と彼は述べた。「なぜ一つの病院だけを標的にするのか？何千もの医療機関とつながりのある医療機関を標的にすればいいではないか？」  

1つのサプライヤーに食い込めば、そのサプライヤーが関わるすべての下流ネットワークに手が届くようになる。

米国以外でも同様の傾向が見られ、6月に発表されたSonicWallの「2026年の医療サイバーセキュリティの現状」レポートでは、英国の医療システムとそのベンダーに対する攻撃が今年10倍に増加したことが明らかになった。同社の侵入防止システムは、1月から5月にかけて26万件以上の攻撃未遂を記録した。  

医療業界は、攻撃者にとって理想的な条件をすべて兼ね備えている。機密性の高いデータ、ほぼ不可能なシステム停止、そして複雑なサードパーティリンクのネットワークだ。

情報漏洩の修復を行ったとしても、情報漏洩のリスクが完全に解消されるわけではない。ディアリング氏は、盗まれたデータはそれ自体は無害に見えても、後々まで影響を及ぼす可能性があると警告した。

「盗まれた情報のリスクが低いように見える場合でも、従業員、顧客、パートナーのデータは、フィッシング、ソーシャルエンジニアリング、そしてその後の攻撃を助長するために悪用される可能性がある」と彼は述べた。従業員、顧客、パートナーは、ネットワーク上の不審なメッセージや異常な活動に警戒すべきです。  

この教訓は、7月の残りのニュースにも通じる。仕入先とのつながりが将来的に不利に利用される可能性もあると想定し、そのつながりがもたらすアクセス権限を十分に厳重に管理することで、ある仕入先との足がかりが他の仕入先にも及ぶことを防ぐようにすべきである。

探検する AI攻撃に対する侵入封じ込め Illumioと共に。