Rapid7は10月21日、2026年第3四半期のサイバー脅威動向をまとめた「Quarterly Threat Landscape Report（四半期脅威動向レポート）」を公開した。同社が追跡した脅威情報では、攻撃活動の一部にAIが使われていたものは全体の8％だった。また、深刻度の高い脆弱性は公開から悪用まで平均3日で、追跡した悪用の71％が公開後1週間以内に発生していた。
事案の詳細
Rapid7のレポートによると、同社が追跡した脅威情報のうち、攻撃活動の一部にAIが使われていたものは全体の8％だった。Rapid7はこれを「わずか8％」と表現し、現時点ではAIの利用が報道や議論で想定されるほど広範ではないことを示している。
ただし、この数値は現在の導入状況を示すものであり、AI利用の上限を意味するものではない。AIを使用している事例でも、標的の選択や攻撃の目的を決めているのは依然として人間で、AIは攻撃手法の選択や標的の優先順位付けなど、攻撃の中間段階で利用されていたという。
一方、攻撃者が脆弱性の悪用に移るまでの時間は短い。深刻度の高い脆弱性が公開されてから悪用されるまでの期間は平均3日で、追跡した悪用の71％が公開後1週間以内に発生していた。
さらに、新たに悪用が確認された深刻度の高い脆弱性43件（前四半期比7％減）のうち34件（79％）は、認証もユーザーの操作も必要としない脆弱性だった。脆弱性情報の公開後、攻撃者が短期間で悪用に移る実態が示されている。
影響と背景
深刻度の高い脆弱性が公開から平均3日で悪用され、悪用の71％が1週間以内に発生している状況では、対策の遅れが被害につながり得る。AI利用が8％にとどまっていたとしても、攻撃者はAIを使わずに従来の手法で迅速な攻撃を実行できるため、AIの有無だけで脅威の大きさを判断するのは適切ではない。
また、悪用が確認された脆弱性の79％が認証やユーザー操作を必要としなかったことから、外部公開された機器やサービスでは、利用者の操作を待たずに攻撃が成立する可能性がある。Rapid7は、AIの利用は今後増える可能性があると示唆しており、現時点の割合だけで将来のリスクを限定することはできない。
対策・今後の展望
Rapid7の調査結果が示すのは、AI対策と並行して、脆弱性公開後の初動を速める必要があるという点だ。組織としては、AIの有無にかかわらず、深刻度の高い脆弱性を迅速に把握し、外部から到達可能な資産を優先して対応する必要がある。具体的には、次のような取り組みが現実的な対策となる。
- 脆弱性情報の把握と優先順位付け：公開された脆弱性のうち、自組織で利用している製品・サービスに関係するものを素早く洗い出す。特に、深刻度が高く、認証やユーザー操作を必要とせず、インターネットから到達可能な脆弱性を優先する。
- 更新・修正の運用整備：修正プログラム（アップデート）を適用するための手順、停止を伴う場合の社内調整、検証の進め方などを平時から定め、公開後数日以内に実行できる体制を作る。すぐに修正できない場合は、外部公開の停止、アクセス制限、脆弱な機能の無効化などの暫定措置を検討する。
- 攻撃兆候の監視強化：脆弱性が公開された直後は攻撃が増える可能性があるため、公開サービスへの不審なアクセス、認証試行、異常なプロセスや通信を重点的に監視する。必要に応じて、公開後1週間程度はログ確認やアラート対応の頻度を上げる。
- AI利用を前提とした監視：AIが攻撃手法の選択や標的の優先順位付けに使われる可能性を踏まえ、単一の侵入手法だけでなく、複数の小さな兆候を組み合わせて検知できる体制を整える。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIが支援する中小企業のMDR運用やセキュリティ診断では、「更新が止まった機器やソフトがそのまま稼働している」例を多く確認する。MDRのアラートとしては、外部からの不審なアクセス試行が短期間に集中するパターンが目立ち、脆弱性公開後の数日が山場になりやすい。
【観点②：セキュリティ専門家でない人への平易な解説】例えるなら、鍵の弱点が新聞で広まった直後に、その鍵を狙う人が急に増えるようなものだ。つまり、AIを使うかどうか以前に、「弱点が知られたらすぐ試される」ため、直すまでの時間が短いほど安全だと理解してほしい。
【観点③：中小企業が今週中にできること】まず社内で使っている機器やソフトの更新状況を担当者に確認し、止まっているものがないかを洗い出す。次に、更新が必要な場合は「いつ誰が適用するか」を今週の予定に入れて実行する。あわせて、外部公開されている機器やサービスを確認し、すぐに更新できない場合はアクセス制限などの暫定措置を講じる。公開後の数日はログ確認や監視の頻度を上げるよう、運用担当に共有しておくと効果的だ。