生成AIの普及は、金融機関の業務効率化や顧客体験向上を加速させる一方で、攻撃者側にも新しい武器を与えています。米国のAI関連企業をめぐる報道では、特定のAIモデルに起因する攻撃リスクが指摘され、金融当局が重大な影響が見込まれる場合には「金融システムの停止」も選択肢として検討し得る、という趣旨が伝えられました。これは過激な話に見えますが、実務的には“最後の安全弁”としての危機対応を、より現実的に議論する段階に入ったことを示しています。
本稿では、生成AIを巡る脅威が金融システムに与える影響を整理し、停止判断を含む危機管理を「机上の空論にしない」ための実務ポイントを解説します。
金融システム停止が議論される背景
金融は相互接続性が高く、ひとたび主要な決済・資金移動・勘定系に障害が起これば、個社の被害が連鎖しやすい構造にあります。加えて生成AIは、従来のサイバー脅威を“低コスト化・高速化・高精度化”させます。具体的には、以下のような変化が起きています。
攻撃のスケールと速度が上がる
フィッシング文面の最適化、標的組織に合わせたスピアフィッシング、ソーシャルエンジニアリングの会話脚本作成などが半自動化され、攻撃成功率が上がります。防御側が検知・分析・遮断を行う前に、侵害が横展開してしまうリスクが高まります。
脆弱性悪用の“時間差”が縮む
脆弱性情報が外部に共有されること自体は、適切な枠組み（CVD: Coordinated Vulnerability Disclosure）に沿う限り、防御の底上げに資します。しかし、公開・共有のタイミングや情報の粒度次第では、パッチ適用前の組織が狙われる「Nデイ攻撃」や「ワンデイ攻撃」が増え得ます。金融のように変更管理が厳格で、緊急パッチ適用にも手続きが必要な環境では、攻撃者優位になりやすい点が要注意です。
AIサプライチェーンという新しい“依存”が増える
金融機関が外部のAIサービス、モデル、推論基盤、MLOps、外部データ提供者に依存するほど、単一障害点が生まれます。AIモデル自体の脆弱性、学習データ汚染、プロンプトインジェクション、権限境界の不備などが、従来のITサプライチェーンと同じかそれ以上の影響を持つ可能性があります。
「停止」は敗北ではなく、被害極小化の手段
金融システムの停止は最終手段であり、平時から「止める設計」をしていなければ現実的に実行できません。それでも当局が停止に言及するのは、次のような“不可逆な被害”を避ける必要があるからです。
不正送金・不正決済の拡大：取引が継続するほど資金流出が増える。
データ改ざん・台帳汚染：整合性が崩れると復旧が長期化し、信頼回復が困難になる。
ランサムウェアの横展開：ネットワーク接続を維持すると感染範囲が広がる。
社会インフラとしての信用毀損：混乱が長引くほど取り付け的な行動や風評のリスクが上がる。
重要なのは、停止の可否を“その場で”決めないことです。停止は技術判断だけでなく、法務・広報・顧客対応・他行他社連携・当局報告を含む経営判断であり、事前に条件と手順を定義しておく必要があります。
生成AIが絡む代表的な攻撃シナリオ
プロンプトインジェクションによる情報漏えい
社内の業務アシスタントやFAQボットが、外部入力をそのまま信用する設計だと、機密情報の抽出や内部指示の改ざんが起こり得ます。特にRAG（検索拡張生成）で社内文書を参照する仕組みでは、参照先データに悪意ある文書が混入した場合、モデルが「それらしい根拠」を伴って誤った回答や漏えいを起こす危険があります。
認証・本人確認の突破（ディープフェイク併用）
コールセンターやオンライン本人確認で、音声・映像の偽造が高度化すると、従来の“人の目”に依存した検知は限界を迎えます。なりすましが成立すると、口座乗っ取りから不正送金までが短時間で連鎖します。
AI運用基盤を踏み台にした侵入
モデルのホスティング基盤、推論API、ログ保管、プロンプト管理、プラグイン連携などは新しい攻撃面です。特権トークンの漏えい、設定不備、過剰権限があると、AI基盤が社内ネットワーク侵入の足がかりになります。
停止判断を現実にする「事前設計」
停止は“勇気”ではなく“準備”で決まります。実務としては、以下の設計が要点です。
キルスイッチと段階的縮退の設計
全停止だけでなく、機能単位での縮退（例：新規振込停止、限度額引き下げ、国外送金の一時停止、疑わしいチャネルの遮断）を段階的に実行できることが重要です。止める対象、権限者、発動条件、解除条件、監査ログを事前に定義します。
整合性を守るバックアップと復旧手順
バックアップは「ある」だけでは不十分で、改ざん耐性（イミュータブル化）、世代管理、復旧リハーサル、復旧後の整合性検証がセットです。金融では特に台帳・取引ログの真正性が生命線であり、復旧の優先順位と検証手順を平時から固める必要があります。
AIを“特別扱い”しない統合リスク管理
AI特有の論点（モデル更新、データ汚染、プロンプト、外部連携）を、既存の変更管理・脆弱性管理・委託先管理・アクセス管理に統合します。「AIだから例外」は事故の温床です。モデルやプロンプト、ナレッジベースの更新も、リリース判定・ロールバック・監査証跡の対象にします。
脆弱性情報共有のルール整備
外部共有を前提とするなら、共有先、内容、タイミング、秘匿期間、再現手順の扱い、パッチ提供までの連携を明確化します。防御強化のための共有が、結果として攻撃者に有利な情報流通にならないよう、業界横断の調整が不可欠です。
金融機関が今すぐ着手すべき優先事項
インシデント時の意思決定手順：停止・縮退の条件、当局報告、顧客告知テンプレート、他社連携を含めたプレイブック化。
AI利用の棚卸し：どの業務がどの外部AI・データに依存しているかを可視化し、単一障害点を特定。
最小権限と鍵管理：推論APIキー、サービスアカウント、プラグイン権限を最小化し、漏えい検知と失効を自動化。
検知強化：不正送金・異常取引だけでなく、プロンプト異常、RAG参照異常、AI基盤の設定変更なども監視対象に追加。
演習の高度化：ランサム、台帳改ざん、AI基盤侵害、ディープフェイクによる口座乗っ取りなど複合シナリオで訓練。
おわりに
生成AIは金融の競争力を押し上げる一方、攻撃の質と量を同時に引き上げます。当局が「金融システム停止も選択肢」と示唆する状況は、脅威が“個別最適”では抑えきれない領域に近づいていることの表れです。停止を避けるためにこそ、停止を実行できる設計と、段階的縮退・整合性確保・サプライチェーン管理を平時から積み上げることが、金融システムの信頼を守る最短ルートになります。
参照: 金融庁など 米AI「ミュトス」の攻撃リスクあれば“金融システム停止も選択肢”検討 アンソロピックは“脆弱性情報の外部共有を容認”と米報道 – TBS NEWS DIG