侵入後、AIは自分で“次の穴”を探した――スペインで報告された個人情報改ざん

2026年9月14日、スペインの個人情報保護庁（AEPD）が、奇妙なサイバー攻撃について公表した。

ある組織のシステムに侵入したAIエージェントが、ログインに成功した後も、自分で次の弱点を探し始めたというのだ。

しかも、内部の脆弱性を見つけると、個人情報を変更できる状態に至り、請求書にもアクセスしたと報告されている。

AIエージェントとは、人間から与えられた目的に向かって、情報収集やシステム操作などを自動で進めるAIのことだ。

今回の妙な点は、侵入して終わりではなく、AIが内部で次の攻撃経路を探したとされること。そして、情報を読むだけでなく、書き換えまで可能だったという点にある。

ただし、これはAIが突然悪意を持ったという話ではない。そこには、人間による攻撃目的での利用があったと説明されている。

侵入後も止まらなかったAI

AEPDによると、被害組織から届け出られた攻撃は、次のように進んだとされる。

1. AIエージェントが一般的なファイル類から脆弱性を探索
2. 対象システムへのログインに成功
3. 侵入後、アプリケーション内部の弱点を自律的に探索
4. 発見した弱点を利用し、個人情報の変更を可能にした
5. 請求書にもアクセス

ここでいう「自律的」とは、状況に応じて次の操作を選び、実行することだ。人間が最初から最後まで一切関与しなかったという意味ではない。

従来も、脆弱性を自動探索するプログラムは存在した。しかし、AIエージェントは探索結果を解釈し、次の操作を選び、複数の作業を連続して実行できる。

つまり、攻撃者が一つ一つ操作しなくても、AIが状況を調べながら攻撃を進める可能性がある。

もっとも、今回使用されたAIの種類や、具体的な指示内容は非公開である。実際にどこまで人間の操作なしで進んだのかも判明していない。

情報を盗むより厄介？ 「書き換え」の危険性

今回、特に注目したいのは、個人情報の「変更が可能だった」と報告されている点だ。

例えば、企業の顧客管理システムで住所が勝手に変更されたとする。企業が気づかなければ、間違った住所へ商品や重要書類を発送してしまう可能性がある。

これは説明用の仮定であり、スペインで実際に住所が改ざんされたという意味ではない。

情報が外部へ漏れる場合と、内部の記録が書き換わる場合では、危険の性質が異なる。

• 不正閲覧・漏えい：第三者に情報を知られる危険
• 改ざん：誤った情報が正規の記録として使われる危険

EUの一般データ保護規則（GDPR）でも、個人データ侵害は情報の漏えいだけを意味しない。不正な変更や消失なども対象になる。

今回の報告が示すのは、AIによる攻撃が、情報を「見る」段階から「変更する」段階にまで及び得るということだ。

なお、今回どの個人情報が変更されたのか、請求書の内容まで改ざんされたのか、データが外部へ持ち出されたのかは確認されていない。

個人データへの不正な変更を表した概念イメージ。実際のデータ画面を再現したものではありません。

インドのAI侵入事件と比べると、違いが見える

2026年10月15日、インドのサイバーセキュリティ機関CERT-Inも、AIエージェントが関係する複数の侵入事例を公表した。

ただし、両国の事件を同じ「AIの暴走」で片づけることはできない。

インドの研究評価事例では、被害組織は侵入を検知できず、AI開発企業側が内部調査で問題を発見して報告したという。

一方、CERT-Inは別の事例として、犯罪者がAI攻撃ツールを意図的に使用したケースも確認している。こちらはスペインの事件に近い。

さらに、インドの金銭目的の攻撃事例では、最初の侵入から最終的な被害まで、従来は数日かかっていた工程が数時間に短縮されたと報告された。

これはスペイン事件の所要時間ではない。しかし、AIによる攻撃の自動化が何を変えるのかを考えるうえで重要な数字だ。

興味深いことに、CERT-Inが指摘した攻撃対象の弱点は、流出した認証情報、不要なAPI、過大なアクセス権限など、以前から存在する問題だった。

弱点が突然新しくなったのではない。古い弱点を探して利用する側が、速くなったのである。

AIが攻撃しても、責任までAI任せにはできない

では、AIによる侵入が発覚したら誰が責任を負うのか。

攻撃を指示・実行させた人物には、不正アクセスなどの刑事責任が問題となり得る。一方、被害組織には、個人情報を適切に保護し、侵害発覚時に対応する義務がある。

GDPR第33条では、本人の権利や自由へのリスクが生じる可能性のある個人データ侵害について、管理者は原則として、侵害を認識してから72時間以内に監督当局へ通知する必要がある。

重要なのは、72時間の起点が攻撃の発生時刻ではなく、組織が侵害を認識した時点であることだ。

ただし、侵害を受けた企業が自動的にGDPR違反となるわけではない。実際にどのような安全管理措置を講じていたかなど、個別の判断が必要となる。

AEPDは、今回の件で使用されたAIモデル名や被害組織名を公表していない。また、特定のAIモデルが悪用されたことは、そのモデル自体や提供企業のシステムが侵害された証拠ではないと注意している。

結局、何が分かっていないのか

2026年10月27日時点で確認できる公開資料では、被害組織名、実際の侵入日、被害人数、使用モデル名、改ざんされたデータの具体的内容は明らかになっていない。

今回の攻撃手順も、被害組織からの届出に基づく説明であり、AEPDによる最終的な検証結果ではない。新たな処分や被害の全容も確認できていない。

ただし、AEPDは9月28日にもAIを利用した攻撃の高速化と、組織に求められる防御策を解説している。

対策として重要なのは、認証情報の管理、不要なAPIの削除、アクセス権限の制限、異常な操作の検知、そしてデータ変更履歴の保存などだ。

アクセス権限とシステムの弱点を模式的に表現したイメージ。実際の侵入経路や施設を再現したものではありません。

AIに対抗するためにAIだけが必要なのではない。基本的な弱点を放置しないことが、引き続き重要なのである。

【編集者が思うこと】

これ、AIが勝手に悪者になったという話ではないんだよな。人間が攻撃に使ったAIが、侵入後も自分で次の弱点を探したというところが妙なんだ。

人間なら、調べて、考えて、試して、失敗すればまた考える。でもAIは、そうした作業の一部を休みなく続けられる。

しかも怖いのは、盗まれた情報だけではない。書き換えられたデータが、何事もなかったように使われ続けたらどうなるのか。

AIが賢くなるのは結構なことだけど、それを使う人間の目的まで賢くなるわけじゃない。ここが、なんとも厄介なところだと思う。

参考資料