AIと量子コンピューティング時代の企業サイバーセキュリティ
ICTと通信
多くの組織は、量子コンピューティングを依然として、遠い将来の政策課題として捉えています。しかし、実際はそうではありません。それは刻一刻と迫る期限であり、AIの急速な進展によって、多くの業界が想定しているよりもはるかに速いペースでその到来時期が早まっています。
例えば、世界経済フォーラムは、上級幹部の94%が今年、サイバーセキュリティにおける変化の最大の要因としてAIを挙げたことを明らかにしました。この数字は、回答者が現時点で既に取り組んでいる、あるいは対応に追われている事柄を反映したものです。
しかし、その数字の背後には、比較的少数の組織しか備えができていない「第二の層」が存在します。それは、今日の多くの企業が依拠している暗号化インフラが、古典的コンピューティングの限界を前提に構築されているという点です。量子コンピューティングは、そうした限界に負荷をかけるのではなく、それらを根本から取り払ってしまうのです。
AIはすでに攻撃のライフサイクルを書き換えている
攻撃者が脆弱性を発見してから実際に悪用するまでの所要時間は短縮しており、その短縮傾向は数値として捉えることができます。例えば、世界経済フォーラム（WEF）のデータによると、回答者の87%が2025年に向けて最も急速に拡大するサイバーリスクとしてAI関連の脆弱性を挙げており、AIツールのセキュリティを積極的に評価している組織の割合は前年比でほぼ倍増しました。
一方で、詐欺被害の統計は、この問題がもたらすリスクの大きさを具体的に浮き彫りにしています。同調査では、回答者の73%が、2025年の間に自身または自身の業務上のネットワークにいる誰かが、サイバー技術を悪用した詐欺の被害に遭ったと回答しました。今やCEOたちは、ランサムウェアやサプライチェーンの脆弱性といった脅威を抑え、詐欺を最大の懸念事項として挙げています。単に担当者に委任すべきリスクの一つではなく、経営陣が最優先で取り組むべき課題として詐欺が認識されるようになったということは、問題の性質そのものが変化したことを意味します。
AIの登場により、高度な攻撃を仕掛けるために必要な専門知識のハードルが下がりました。かつては潤沢な資金を持つ国家レベルの攻撃者や、極めて優秀な独立系研究者にしか持ち得なかった能力が、今やより低コストで利用できるようになりつつあります。これは単なる推測ではありません。データが示す事実であり、実際にレッドチーム（攻撃者視点の検証チーム）を運用する組織が、管理された環境下で目の当たりにしている現実なのです。
Anthropicの「制限付きモデル」が示唆する今後の展望
2026年4月、Anthropicは「Project Glasswing」を発表し、同時に「Claude Mythos」の制限付きプレビュー版を公開しました。この汎用モデルは、サイバーセキュリティに関する能力において、開発者さえも驚かせるほどの性能を示しました。同モデルは、大規模かつ複雑なコードベースを理解・分析し、その中で動作するように学習されていましたが、攻撃能力はその過程で副次的に生じたものでしました。
テストの際、Mythosのプレビュー版は、主要なすべてのオペレーティングシステムやウェブブラウザにわたり、数千件ものゼロデイ脆弱性を自律的に特定しました。その中には、OpenBSDに27年間存在していた欠陥や、5百万回に及ぶ自動テストサイクルをすり抜けて検出されずにいたFFmpegのバグ（16年前のもの）も含まれていました。さらに同モデルは、人間の介入なしに複数の脆弱性を連鎖的に利用し、通常のユーザー権限からLinuxカーネルにおける完全なマシン制御権限へと昇格することに成功しました。
Anthropicはこのモデルを一般公開しませんでした。その代わりに、AWS、Microsoft、Apple、Google、Cisco、CrowdStrike、NVIDIA、Palo Alto Networksといった企業を含む限定的なコンソーシアム「Project Glasswing」を立ち上げました。この取り組みは、敵対者が独自に同等のツールを開発する前に脆弱性を発見・修正するなど、同モデルの能力を防御目的で活用することを意図しています。Anthropicは、この活動を支援するために最大1億米ドル相当のモデル利用クレジットを提供することを表明しました。
ここから導き出される重要な示唆は、ソフトウェア開発向けに構築された最先端モデル（フロンティアモデル）が、一般的なコーディング能力の副産物としてこれほどの規模で重大な欠陥を特定できるのであれば、既存のセキュリティ投資水準で十分であるという主張はもはや通用しない、ということです。SDKI Analyticsの試算によれば、多くの組織において、必要な支出額は現在の水準の最大2倍にまで引き上げる必要があると見込まれます。多くの企業が計画している年率10%程度の増額では、到底不十分と言わざるを得ません。
SDKI Analyticsでは、パートナーシップ、調達方針の転換、ベンダー間の提携などを通じて、AIが日本のサイバーセキュリティエコシステムをどのように変革しているかを追跡調査しています。特に、企業による技術導入が人間関係や信頼関係に大きく左右される日本市場においては、通信事業者、システムインテグレーター、製造業者、ハイパースケーラー、そして企業顧客への独自調査を行うことで、公的な支出データよりもはるかに早い段階で市場の動向を把握できることが多々あります。
量子コンピューティングは予定通りに到着する問題である
RSAやECCといった従来の暗号化標準は、一般的なコンピュータが大きな数を素因数分解するのに要する時間を基準に設計されていました。その答えは、実質的に「永遠」とも言えるほどの時間がかかるというものでしました。しかし、十分に強力な量子システムが登場すれば、その答えは「数時間、あるいはそれ以下」へと変わってしまいます。
改めて強調しますが、各組織は遅くとも2030年までに、できれば2028年までに「量子耐性」を備える必要があります。しかし、多くの組織はまだ移行計画に着手さえしていません。この対応の遅れは重大な問題です。なぜなら、この移行は単なるソフトウェアの更新とは異なるからです。
これには、転送中または保存中のデータを暗号化しているすべてのシステムを監査し、使用されている暗号化規格を特定した上で、量子処理によって既存の暗号が無効化される前に、それらを耐量子性のある代替規格へと置き換える作業が必要となるからです。
今すぐ取り組みを始める組織は「時間の猶予」を確保できますが、量子技術の能力が商用レベルで実証されるまで待機する組織は、移行を想定せずに設計されたレガシーインフラを抱えたまま、極めて短期間での対応を迫られることになる可能性があります。さらに、地政学的な情勢不安も事態を複雑にしています。実際、大企業の62%がすでに地政学的リスクへの対応としてサイバーセキュリティ戦略を変更しており、特に規模の大きな企業ではその割合が90%に達しています。量子技術への投資を進める国家レベルの攻撃者は、民間企業が追いつくのを待ってはくれないのです。
SDKIの市場調査が示すもの
量子暗号やAIを活用したセキュリティへの投資は、単なる理論上の位置づけにとどまるものではありません。このデータは、脅威を取り巻く環境が決して一時的・循環的なものではないという認識に基づき、企業や政府が支出を拡大している実態を反映しています。
セキュリティ投資の社内承認に向けた検討を進める組織にとって、量子コンピューティングおよびサイバーセキュリティ市場の動向に関するSDKIの独自調査データは、社内の試算だけでは得られない、検証済みの知見を提供するものです。SDKI Analyticsは、これら両市場を詳細に網羅しています。
よくある質問
2030年までに量子コンピューティングへの備えができているとは、どういうことですか？
「量子コンピューティングへの備え」とは、組織が量子攻撃に対して脆弱な暗号化標準（具体的にはRSAやECCに依存するもの）を特定し、それらを耐量子計算機暗号（PQC）の代替技術に置き換えている状態を指します。2030年という期限は、商用利用可能なレベルの量子コンピューティングが、現在の暗号を高速で解読できる規模に達すると予測される時期に基づいています。
なぜ今、AIがサイバーセキュリティにおける最大の変革要因とされているのでしょうか？
SDKIによる2026年のサイバーセキュリティ分析によると、上級幹部の90%以上が、今年サイバーセキュリティのあり方を再定義する最も重要な要因としてAIを挙げています。AIは、脆弱性の発見から悪用までの時間を短縮し、高度な攻撃を仕掛けるための専門知識のハードルを下げ、さらに、かつては多くの脅威アクターにとって不可能だった規模と速度での不正行為を可能にします。
「Project Glasswing」とは何ですか？また、なぜ重要なのでしょうか？
Project Glasswingは、2026年4月に開始されたAnthropicによる限定的なコンソーシアムイニシアチブです。この取り組みでは、選定された主要テクノロジー企業に対し、重要なソフトウェアの脆弱性を自律的に特定できる最先端AIモデル「Claude Mythos Preview」へのアクセス権が提供されます。このイニシアチブは、攻撃者が独自に同等の攻撃ツールを開発する前に、AIの能力を防御に活用することを目的としています。この取り組みが重要なのは、同モデルの発見能力によって、AIを活用した脆弱性検知が、従来のセキュリティ投資レベルでは対応しきれない段階に達したことが明らかになったためです。
AIの能力と、AIを悪用した不正行為（サイバー詐欺）はどのように関連しているのでしょうか？
AIは、ディープフェイクを利用したソーシャルエンジニアリングから大規模な自動フィッシングに至るまで、説得力のある不正キャンペーンを構築する際のコストと複雑さを低減させました。SDKI Analyticsの調査によると、回答者の71%がAIを悪用した不正行為の個人的な被害を受けており、現在、CEOたちはこれをランサムウェアを上回る組織の最優先懸念事項として挙げています。AIの能力との関連性は直接的です。モデルが説得力のあるコンテンツを生成し、標的を特定する能力を向上させるにつれて、不正行為の運用はより大規模かつ検知困難なものになっていきます。
組織は、耐量子計算機暗号への投資を行う前に、量子コンピューティングの発展状況を見守るべきでしょうか？
いいえ、そうすべきではありません。耐量子計算機暗号への移行には長い時間を要します。特に、レガシーインフラを運用している組織や、データの長期保存が義務付けられている規制対象システムを運用している組織ではなおさらです。攻撃者は、将来的に量子コンピューティングの能力が実用化された際に解読する意図で、すでに暗号化されたデータを収集（蓄積）している可能性があります。これは「今収集し、後で解読する」として知られる戦略です。量子攻撃が実際に確認されるまで待機していると、対応可能な期間が極端に短縮され、移行作業は計画的なプロセスではなく、危機的な事態へと変貌してしまいます。
