ニュース

Rapid7が追跡したサイバー攻撃、AI利用は「わずか8％」、脆弱性は公開から平均3日で悪用

渡邊悠太

2026年10月27日 07:30

　Rapid7は10月21日、2026年第3四半期のサイバー脅威動向をまとめた「Quarterly Threat Landscape Report」（四半期脅威動向レポート）を公開した。

　同レポートは、同社のマネージド検知／対応（MDR）サービスの運用、脆弱性インテリジェンスプラットフォーム、脅威リサーチで収集したテレメトリを基に、世界の攻撃者の行動を四半期ごとに分析するもの。2026年第3四半期版では、脆弱性の悪用、国家と連携する脅威グループやサイバー犯罪者の活動、ランサムウェアの動向、アンダーグラウンド市場を分析している。

攻撃活動の一部にAIが使われたのは「わずか8％」

　同レポートによると、同社が追跡した脅威情報のうち、攻撃活動の一部にAIが使われているものは全体の8％だったという。同社ではこれを「わずか8％」と表現し、話題になっているほど多くないと示しているが、同時に「これは現時点での導入状況を示すものであり、上限ではありません」と、今後増える可能性を示唆している。なお、AIを使用している事例でも、標的の選択や攻撃の目的を決めているのは依然として人間であり、AIは攻撃手法の選択や標的の優先順位付けなど、攻撃の中間段階で利用されているとしている。

　同社のChristiaan Beek氏は、AIによる脆弱性の発見が急増していることと、実際の（脆弱性の）悪用が混同されがちだと指摘している。AIによる脆弱性の発見は実際に次々と行われているが、同レポートによると、2026年第3四半期に新たに悪用が確認された深刻度の高い脆弱性は43件で、前四半期比では7％減少したという。

　ただし、攻撃者が悪用に移るまでの時間は短い。同レポートによると、深刻度の高い脆弱性の公開から悪用までの期間は平均3日で、追跡した悪用の71％が公開後1週間以内に発生している。また、新たに悪用が確認された脆弱性43件のうち34件（79％）は、認証もユーザーの操作も必要としない脆弱性だった。

　Beek氏は、エージェント型AIによる脆弱性の悪用が大規模に広がるかどうかではなく、いつ広がるかが問われているとしている。その上で、防御側は事後対応型のパッチ適用から脱却し、リスクにさらされる具体的な日数に基づいて、どこまでリスクを許容するかを判断する必要があると述べている。