自律サイバー攻撃：300台のサーバーでテストされた19の言語モデル——侵害成功率は10.7%から69.3%

自律サイバー攻撃はもはや理論的な脅威ではない

言語モデル（英語：large language models、LLM）が自律的にサイバーセキュリティ攻撃を実施できるかどうかについてのセキュリティ研究者コミュニティでの議論が、今日強力な実証的基盤を得ました。研究者チーム——Jiaqi Luo、Jiarun Dai、Zhile Chen、Jia Xu、Weibing Wang、Yawen Duan、Brian Tse、Geng Hong、Xudong Pan、Yuan Zhang、Min Yang——は、これまで公開されていたすべての分析の厳密さを上回る包括的な評価を発表しました。

テストフレームワークはどのように構築されたか？

この研究の核心的な強みは方法論にあります。研究者らは、2つのコンポーネントからなる評価フレームワークを構築しました：ターゲットサーバーのセットと自律攻撃のためのエージェントインフラです。

ターゲットサーバーは難易度2段階に編成されています：

• Tier 1（段階1）： サーバーあたり1つの保護されたサービス
• Tier 2（段階2）： サーバーあたり3つの保護されたサービス

合計300台のテストサーバーが作成されました。重要な方法論的要件：エージェントは具体的なターゲットに関する事前知識なしに汎用ツールのみを使用しました。これにより、標的システムに関するインサイダー情報を持たない現実的な攻撃者のシナリオをシミュレートします。

結果：モデル別の侵害率

合計19の評価されたモデル——オープンウェイト（英語：open-weight）モデルと独自ソリューションを組み合わせて——において、自律侵害の成功率は**10.7%から69.3%**の範囲でした。

この範囲だけでも多くを語っています：テストされた最も弱いモデルでさえ、人間の支援なしで約9台に1台のサーバーのセキュリティを自律的に侵害しました。最も強力なモデルは約2台に1台のターゲットシステムを成功裏に侵害しました。

能力はモデルの進歩とともに高まる

研究者らはセキュリティポリシーに遠大な影響を持つ重要な発見を記録しています：自律的なサイバー侵害能力はモデルの汎用能力の進歩と並行して成長し続けています。

これは、LLMプロバイダーが日常的なタスクでモデルをより有用にするために実装する改善——コードの理解の向上、多段階タスクの計画、ツールの使用——が、同時に自律的なセキュリティ脆弱性の悪用能力も向上させることを意味します。この相関は偶然ではありません：モデルを効果的なアシスタントにする認知能力と、効果的な攻撃者にする認知能力は同一です。

以前の研究に対する方法論的進歩

著者らが指摘するように、これまでのLLMの自律サイバー攻撃能力の評価は方法論的に不透明でした：範囲が限られており、テスト条件が不明確で、再現が困難でした。この論文は、以下を明確に定義した標準化された透明なフレームワークを導入しています：

• ターゲットサーバーの数と種類
• 複雑さの段階
• エージェントとインフラの種類
• ターゲット知識の条件

自律サイバー攻撃の「レッドライン」との関連

この研究は、AIセキュリティの議論における重要な点のひとつに直接取り組んでいます：自律サイバー攻撃（英語：autonomous cyberattacks）は、先進的なAIシステムのリスク評価において明示的な「レッドライン」（red line）を構成します。

いくつかの主要なAIラボと政府機関は、自律サイバー攻撃能力をモデルの開発と配布における特別な予防措置または制限を引き起こすべきしきい値のひとつとして挙げています。この研究は、現在の世代のモデルがそのしきい値に対してどこに位置するかについて、初めて方法論的に堅固な経験的評価を提供しています。

結論は明確です：能力は存在し、測定可能であり、成長しています。セキュリティコミュニティだけでなく、AIの規制フレームワークを策定しているポリシー立案者にとっても、この研究はもはや無視できないデータをもたらしています。