- Editors' Top :
- 協創の現場から／日立製作所
- 研究をつなぐ（KDDI総合研究所）
September 2, 2026
WirelessWire & Schrodinger's編集部 WirelessWire & Schrodinger's編集部
サイバー攻撃を先回りして防ぐには、攻撃者が何をしようとしているのかを知る必要がある。KDDI総合研究所の村上洸介氏は、AIで企業ネットワークを模した動的なハニーポットを構築し、攻撃者を誘い込んでその行動を観測する。一方、三本知明氏は、そこで得た攻撃データやダークWebなどの情報を分析し、次の攻撃への備えにつながるサイバー脅威インテリジェンス（CTI）へ変えていく。攻撃を観測する研究と、データから意味を引き出す研究。2人のチーミングから、AI時代の新しいセキュリティ対策と、その社会実装への道筋が見えてくる。
（WirelessWire & Schrodinger’s編集部）
村上：AIの進化と普及は、サイバー攻撃も変えていきます。KDDIは社会の重要インフラを担う通信事業者ですから、高度化する攻撃への対策は不可欠です。脆弱性が公表されてから修正パッチが適用されるまでを狙う攻撃もあります。
同時にAIの普及によって、新しい攻撃対象も生まれています。例えばAIが稼働するサーバーが誤って公開され、攻撃者に狙われるケースです。最近では、AIが外部のデータやツールにアクセスするための「Model Context Protocol（MCP）」サーバーへの攻撃も急増しています。調査目的とみられるアクセスの後、一定期間を経てから攻撃が増える、という動きも観測されています。
三本：世の中に広まった情報から脆弱性や攻撃を見つけていてはもう遅い。今あるトピックから将来どうなるかを先立って予測し、想定されるリスクを伝える必要があります。企業を狙った攻撃者は、調査によって何らかの脆弱性を発見したらそこから内部に侵入し、ファイルサーバーなどから情報を持ち出します。攻撃者側がそうした攻撃にAIの技術を適用しているのならば、対策する側もAIやLLM（大規模言語モデル）の技術を使って守る必要があるわけです。
既存のセキュリティ技術は、過去の被害事例から攻撃を検証することが中心です。今後の攻撃を予測するには、被害が生じない安全な環境で攻撃者の行動そのものを観測する必要があります。そのための「おとり」がハニーポットです。
従来はWebサーバーなど単体の機器をハニーポットにすることが一般的でした。しかし実際の攻撃では、VPNゲートウェイなどから社内ネットワークに侵入し、パソコンやサーバーを横展開しながら情報を収集しています。単体の機器では、こうした一連の行動を観測できません。また固定的な環境では、攻撃者にハニーポットだと見抜かれる可能性もあります。
村上：私たちは、「攻撃者が入ってきて、本当のシステムだと思って気持ちよく攻撃して帰ってもらう」というハニーポットを作っています。実際の企業を模したシステムを仮想的に作って、実際に多くの端末やサーバーが業務でやり取りをしているような環境を構築しています。この環境の中には攻撃者が欲しくなる情報を散りばめておいて、攻撃者に持って帰ってもらうのです。これにより攻撃の手口をあらかじめ分析するわけです。そうしたハニーポットを攻撃者にバレないようにバリエーションを持たせながら人手で作るのは大変です。そこで私たちはAIで模擬環境のパターンを大量に作って、気持ちよく攻撃してもらえるようにしています。
こうして用意した観測環境には実際に人間が働いているかのように見せる工夫をどう実現するか、どの程度の端末数があれば企業らしい環境になるのか、どのような情報なら狙われるのか、も研究しています。攻撃者のトレンドに合わせてVPN機器などの脆弱性を配置するほか、利用するIPアドレスもそれらしく準備する必要があります。「安心して攻撃できる環境を用意する」こと自体が研究対象なのです。
三本：私は、村上さんが収集したデータを使って、攻撃を分析する基盤を作っています。分析する対象には、APT攻撃（持続的標的型攻撃、Advanced Persistent Threat）のような高度なサイバー攻撃も含まれます。APTは、特定の組織を狙って高度で持続的な侵入を行う攻撃です。KDDI総合研究所では、こうした高度な攻撃や、その背景にいる脅威アクターの分析も重要な研究対象としています。それだけに、こうした攻撃者の行動を観測するためには、上手に企業を模擬したハニーポットが必要になります。高度な模擬環境を村上さんたちが作ってくれることで、実際のデータが集まり、攻撃者の行動や手口をより詳しく分析できるようになります。
村上：AIを活用したハニーポットについては、企画から実装まで完了しています。ただし、APTを呼び込んでデータを取得するまでにはまだギャップがあるのも事実です。現段階では、開発したハニーポットを随時インターネットに公開して、攻撃の観測を始めているところです。Windowsの端末を模したハニーポットを公開したところ、あるIDとパスワードで侵入し、その後に帰っていくような挙動が見えてきています。さらなる機能向上に向けて、海外を含めた大学や研究機関などとの共同研究を進めているところです。
三本：APTを対象にした研究という視点では、この動的なハニーポットがどの程度APTに対して勝算があるかに着目しています。AIを使うことでどのぐらいの敵を欺けるかによって、私たちの研究にも影響がありますからね。
村上：そこは改良を重ねることでAPTにも対抗していきたいと考えています。良いデータを三本さんに渡せるように、頑張ります（笑）。
三本：村上チームに、サイバー脅威の情報を拾ってもらったら、私たちのチームがその情報を様々な情報源と組み合わせて分析して、攻撃の背景にいる脅威アクターや、その活動についての知見を整理します。このように、敵の正体や次の一手を見抜き、対策につなげるための分析済み情報のことを「サイバー脅威インテリジェンス（CTI）」と呼びます。例えば、国際情勢の変化をきっかけに、特定のハクティビストがある国への攻撃活動を活発化させることがあります。こうした過去の攻撃活動や脅威アクターの特徴、現在起きている出来事など、さまざまな情報を組み合わせることで、次にどのような攻撃が起こり得るのかを推測し、備えるための情報として提供できるのです。AIの高度化によって、攻撃者はAIを存分に使ってきます。守る側もAIをはじめとする様々な分析技術で対抗する必要があり、膨大な情報から脅威の兆候を捉え、先回りして対策していく必要があります。
一方で、フロンティアAIが注目されるように、サイバーセキュリティ対策や脆弱性発見もAIで実現できるだろうという考え方もあります。ただ、私は必ずしもAIに脆弱性を見つけてもらうこと自体がゴールにはならないと見ています。AIによって大量の脆弱性を発見できたとしても、その中から本当に危険なもの、優先して対処すべきものを見極められなければ、実際の対策にはつながらないからです。
KDDI総合研究所では所内で動いているソフトを予防的に評価する脆弱性検証プロジェクトを実施しています。このプロジェクトでAIに脆弱性の評価をさせてみると、大規模な設備ですから攻撃の可能性がある場所が数千件といった単位で見つかるわけです。では、それが本当に危険な脆弱性なのか、攻撃に悪用される可能性が高い脆弱性なのかを見極めるには、さらに詳しく評価する必要があります。数千件もの候補を一件一件AIで評価しようとすれば、それだけでも大きなコストがかかります。そのうえ、それらに優先順位をつけて確認していくのが人手の作業では、対応にも多くの時間がかかってしまいます。
村上：AIが脆弱性を見つけるようになった世の中になりましたが、大量に脆弱性が見つかったときにどれが重要な脆弱性なのか判定できなければ対処できませんし、重要な脆弱性を見逃すこともあります。何が重要なのか、判定するロジックを作り、日々更新しているところです。
三本：KDDI総合研究所では、CTI、すなわちサイバー脅威インテリジェンスにより予防的な対策ができるように取り組んでいます。攻撃者はAIを使ったりさまざまな手法を使ったりして攻撃してきます。インターネット上のサーフェスWeb、一般からは見えにくいディープWeb、さらに秘匿性が高いダークWebには、脆弱性や被害事例、脅威アクターの活動などに関する様々な情報がありますし、インスタントメッセージアプリのTelegramなどでも多くの情報がやり取りされています。これらに加えて、村上さんが作ったハニーポットで収集された攻撃情報や、セキュリティコミュニティから得られる情報もあります。こうした素の情報を、ここでは「データ」と呼びます。
この「データ」を分析して、何が起きているのか、どのような脅威アクターが関わっている可能性があるのか、どのような攻撃が増えているのかを整理したものが「インフォメーション」です。さらに、これを分析・評価し、セキュリティ対策や意思決定に使える形へ加工したものが「インテリジェンス」ということになります。CTIでは、サイバー攻撃を監視・検知する組織のSOC（Security Operation Center）やインシデント対応を担うCSIRT（Computer Security Incident Response Team）などの担当者が対応を判断するためのレポートを作るほか、EDR（Endpoint Detection and Response）などのセキュリティ製品へ新たな脅威に対応するルールを生成・適用することも想定しています。脅威が顕在化する前にその兆候を捉え、対策につなげるようにするのが狙いです。
三本：インテリジェンスには、さまざまな情報があり、まずKDDI総合研究所からKDDIグループにどう還元すると良いかを検討しています。わかりやすいのがレポート形式での出力ですが、2026年4月から週次で攻撃のトレンドをまとめたレポートを発行しています。レポートを作るといっても、レポートを受け取る側が何を求めているかに合致したインテリジェンスを整理しないと意味がありません。例えば、国が違えば、主要産業が異なり、求めるインテリジェンスも異なってきます。
私たちは、CTIの分析環境を作っているのですが、その中でも内部でインテリジェンス化するためにAIによってデータを加工する必要があります。すなわち、CTIの分野とAIの分野が掛け合わされるような状況になりつつあります。CTIはセキュリティ分野の研究ですが、現在、AIの研究メンバーも参加するようになっています。AIを活用してデータを高度に分析したり、自動的にレポートを生成したり、AIモデルの変更に柔軟に追従したりできるような体制を整えています。
インテリジェンスは、グループ会社に提供するところから始めて、将来的には外販することも考えています。それだけに多くのデータを集めて、使えるインテリジェンスを用意しないといけません。なぜなら、攻撃者も狙う企業を定めて多くの情報を収集した後に攻撃を仕掛けているからです。守る側は全方位で守ることになり、幅広い脅威に備えなければなりません。こうした攻撃者と守る側の情報の非対称性が情報資産を守ることを難しくしています。ここにAIを使えば、さまざまな「データ」から情報の非対称性を排除して、インテリジェンスを得られるようになると考えています。
三本：APTなどの国家支援型アクターに関する分析では、直接的にユーザー企業などにインサイトを提供することもありますが、CTIはもっと広く活用できるような環境を提供できると考えています。CTIを作成するツールは、とても高額です。販売されているツールを使って、データを購入していくと年間で数千万円といったオーダーのコストがかかることもあります。一部の大企業はこうした環境を整えられるかもしれませんが、多くの企業や団体にとっては、CTIを活用したくても十分なコストをかけられないのが現状です。
私たちがCTI基盤を研究開発していることの狙いの一つは、中小企業やセキュリティに多くのコストをかけられない企業であっても、インテリジェンスを活用したセキュリティ対策ができるようにすることです。CTIを誰もが活用できる社会にしていきたいという思いが強くあります。様々な産業のサプライチェーンを守るためには、そこに関わる全ての企業を守る必要があるのです。
村上：例えば、高いセキュリティが求められるのに、対策が十分に施されていないケースが多い業界があります。そのような業界も含めて、KDDIのCTIサービスを利用してもらえるようになれば、社会課題の解決に貢献できると考えています。
三本：情報を使えるものと使えないものに自動的にフィルタリングして、その後で人間が判断できるような仕組みが求められます。そこではAIだけではなく、古くからあるクラスタリングの技術なども組み合わせて、データの重要性の判断を導き出しています。AIは高度な分析ができますがコストもかかりますから、決まった動作であれば枯れた技術を使ったほうが早く正確です。どのような技術を使えば効果的にインテリジェンスを導き出せるかが、課題です。
三本：サイバーセキュリティというと、「データを集めてなんぼ」という側面があります。しかし私は数学的な側面から、汎用的にモデル化をしたいと考えています。大量のデータを詰め込む解法ではなく、数学的なアプローチから私たちらしいセキュリティ対策のアウトプットを作りたいと考えています。
村上：モデル化は三本さんに頑張ってもらいたいと思います。セキュリティ対策は後手に回っていてはダメです。KDDIグループは海外にも拠点があり、通信データも持っています。日本に攻撃が来る前に米国や欧州で始まった動きを観測できることは強みです。
一方で、KDDI総合研究所だけでは限界があります。KDDIグループや外部機関との連携を広げたいと考えています。ハニーポットや通信データの収集・共有ではネットワーク機器メーカーなどとも連携していきたいですね。
三本：私も外部機関との連携を広げながら、ビジネスへの貢献も意識しています。CTI分析基盤を実際に使ってもらい、どんな課題があるのか、どうすれば使いやすくなるのかを知ることで、研究成果を実際のセキュリティ対策につなげていきたいと考えています。
私たちとの共同研究にご興味をお持ちいただいた方へのおすすめの書籍
2冊の書籍を紹介します。いずれも研究を始めたときに大学の研究室にあった本です。1つは「攻殻機動隊」（士郎正宗著、講談社）で、西暦2029年の情報世界で犯罪に対抗するために作られた特殊組織の攻殻機動隊の活躍を描くコミックです。自分の脳がネットワークとつながる近未来で、主人公らの組織がサイバー犯罪やテロに挑むSF作品となっています。世界観がセキュリティに近く、大学の先輩に推されて読んで面白いと思ってセキュリティ分野の研究にさらに取り組むきっかけになりました。欄外の用語の書き込みは、今見ても面白いです。
もう1冊はどうやって通信するかを学んだ「マスタリングTCP/IP－入門編－」（井上直也ほか著、オーム社）です。サイバー攻撃もネットワーク越しにやってきますから、通信を勉強しておくことは重要だと感じています。
「サイバー攻撃から企業システムを守る！ OSINT実践ガイド」（面 和毅、中村行宏著、日経BP）を紹介します。もともと暗号プロトコルやプライバシなど数理的なアプローチを中心とした研究をしていて、サイバーセキュリティ対策の研究に従事するようになってから読んだ本です。公開情報を収集・分析してインテリジェンスを得るOSINT（Open Source Intelligence）について、体系的にまとめられた書籍です。実際の対策も書かれています。これからCTIの研究を始める人にとっても、どんな情報があるのかが一冊でわかる良い教科書になると思います。
今回ご紹介した技術の活用、およびKDDI総合研究所との共同研究にご興味のある方は下記からお問い合わせください。
https://www.kddi-research.jp/inquiry.html
