NICT命名「A2B攻撃」は中国150チーム参加「百度主催AIエージェント活用サイバー攻撃コンテスト」直後から急増。松本清張「点と線」的に時系列でつないだ仮説
アイキャッチ画像はこのレポートを読んだGeminiが生成したイメージです。（拡大すると板書のディテールがすごい）
一つ一つの素材情報を提供して下さったXのサイバーセキュリティ専門家の方々に感謝します。本稿はGrok, ChatGPT 6 Astra, 今泉大輔の共同作業によるものです。
追記：Grokとの信頼関係ができていると自社のAndroidアプリの脆弱性概要を知ることができる簡易なサウンディングテスト（ペネトレーションまでは当然行かない）ができます。いきなり使ってもセーフガードで跳ねられます。Androidアプリの本格的な脆弱性試験については、私が知っている限りでは、GMO Flatt SecurityのAIを活用した最新のペネトレーションサービスが良いようです。
2026年9月3日、中国・成都で、中国の検索エンジン最大手Baidu（百度）のセキュリティ部門が主催した、AIエージェントによるサイバー攻撃・防御能力を競うコンテストが終了しました。
150を超えるセキュリティ技術者チームが参加し、AIエージェントに脆弱性を発見させ、自律的に侵入テストを実行する能力を競った大規模な大会です。
その後、9月中旬から10月にかけて、日本では企業の顧客情報漏洩が相次いで公表されました。
タイムズカー、セイコーマート、Gyazoなど、数十万件から数千万件規模の顧客情報が流出した、あるいは不正にアクセスされたという報告が続いています。
この二つの出来事の時間的な近さについて、X上ではサイバーセキュリティの専門家から、AIエージェントを利用した攻撃能力の急速な普及と関係があるのではないか、という問題提起がなされています。
そして昨日10月13日、独立行政法人ではなく国立研究開発法人である情報通信研究機構（NICT）が、極めて重要な調査結果を公表しました。
国内で相次ぐ情報漏洩の原因の一つとして、公開Androidアプリをリバースエンジニアリングし、接続先のバックエンドAPIやサーバの弱点を突く「A2B攻撃」を特定したのです。
この三つの出来事を結び付けて考えると、日本企業が直面している新しいサイバー攻撃の脅威が浮かび上がってくると思います。
もちろん、Baiduの大会と日本の情報漏洩事件に直接的な因果関係があったと証明されているわけではありません。
しかし、実はその間をつなぐ、もう一つの重大な出来事が起きています。
Baiduの大会で優勝したAIエージェント型ペネトレーションテストツールが、9月下旬から10月上旬にかけて、韓国の金融機関への実際のサイバー攻撃に利用されていたのです。
1．Baiduが開催したAIエージェント攻防大会。150超の技術者チームが参加
まず、中国で開催されたイベントについて説明します。
Baidu Security Response Center（BSRC）が主催したのは、「Agent+攻防能力挑战赛」と呼ばれる大会です。
オンライン予選は2026年8月5日に始まり、9月3日に成都で決勝が開催されました。
Baiduの発表によれば、150を超えるチームが参加し、8チームが決勝に進出しています。
参加チームの国籍別内訳までは公表されていませんが、中国の主要なセキュリティ企業が支援する、中国を舞台とした大規模な技術大会です。
この大会では、AIエージェントがサイバー攻撃や防御に関連する技術をどこまで自律的に実行できるかが競われました。
従来、企業のシステムに侵入可能な脆弱性がないかを調査する「ペネトレーションテスト」は、高度な専門能力を持つ人間のセキュリティ技術者が実施するものでした。
しかし、AIエージェントを利用すると、これまで人間が担当していた作業の相当部分を自動化できます。
対象となるシステムを調査し、脆弱性の候補を見つけ、その弱点が実際に悪用可能かを検証し、結果を整理して報告するという一連の作業です。
大会で優勝したのは、「ARTEX」というAIエージェント型の自律ペネトレーションテストシステムでした。
piyolog: AIペネトレーションテストツール「ARTEX」についてまとめてみた（2026/10/6）
ARTEXは、企業の外部公開システムなどを対象に、AIによって自律的な脆弱性調査や検証を行うために開発されたツールです。
大会の評価では、単に脆弱性を発見する能力だけでなく、処理の安定性、制御可能性、結果の追跡可能性などが重視されました。
つまり、研究室で一度だけ成功するような実験システムではなく、実際のセキュリティ業務で継続して使用できるエンジニアリング能力が競われていたわけです。
参考：Baidu Security Response Centerの大会結果発表（中国語・転載記事）
大会で優勝したARTEXが、韓国の銀行への実攻撃に使われた
ここから話は急展開します。
2026年10月7日、米国の大手サイバーセキュリティ企業CrowdStrikeが、韓国の金融機関を標的としたサイバー攻撃について、調査結果を公表しました。
CrowdStrike公式：Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance（2026年10月7日）
CrowdStrikeによれば、9月下旬から10月上旬にかけて韓国の金融機関を狙った攻撃活動で、中国で開発されたARTEXが利用されていました。
攻撃者が管理するサーバを調査した結果、ARTEXの設定ファイル、Claude Codeのセッション履歴、AIのメモリファイルなどが発見されています。
特に重要なのは、ARTEXが単独で動作する固定的な攻撃プログラムではなかったことです。
攻撃者は、ARTEXの主要LLMとしてDeepSeek v4.1-flashを利用し、さらにGLM-5.3やGrok 4.6なども組み合わせていました。
つまり、AIエージェントが複数のLLMと連携し、標的システムに対する調査や侵入活動を進める構成です。
CrowdStrikeは、こうしたAIツールの利用が、少人数の攻撃者による短期間での複数組織への侵入を可能にしていると評価しています。
この事件で使用されたARTEXは、もともとセキュリティ診断のために開発されたオープンソースツールです。
しかし、それが悪意ある攻撃者に利用され、実際の金融機関への攻撃に使われました。
Baiduの大会を主催した組織や参加者が、この犯罪に関与したことを示す証拠はありません。
それでも、セキュリティ技術の進化という観点から見ると、極めて重要な事実です。
AIによる自律的なペネトレーションテスト技術は、すでに企業を守るための研究開発だけの世界を離れ、犯罪者が実際の攻撃に利用する段階に入っているのです。
2．日本では9月中旬以降、顧客情報漏洩が相次いで公表された
一方、日本ではどうでしょうか。
2026年9月中旬以降、企業が保有する大量の顧客情報が不正アクセスによって流出する事件が相次ぎました。
代表的な事例を挙げます。
タイムズカー（パーク24）
9月25日に不正アクセスを検知し、その後の調査によって約660万アカウントの情報漏洩を確認しました。
9月29日の第三報では、約160万アカウントについて、運転免許証などの本人確認書類の画像が漏洩したことも公表されています。
Gyazo（Helpfeel）
9月11日、画像アップロードサーバの脆弱性を悪用した不正アクセスが発生しました。
同社の調査によって、約2,362万件のユーザー関連データが流出したことが確認されています。
セイコーマート
9月29日、スマートフォンアプリのサーバを経由して、会員情報を保有するサーバに第三者が不正アクセスしたと公表しました。
翌30日には、572,022人分の情報が不正に閲覧されたことを確認したと発表しています。
こうした事例が短期間に相次いで公表されたことは、企業の情報システムに対する攻撃が新たな段階に入った可能性を考えるきっかけになります。
ただし、これらの事件がすべて同じ攻撃手法によるものだったわけではありません。
例えば、Gyazoでは画像アップロードサーバの脆弱性が侵入の起点だったことが公表されています。各社の不正アクセスの原因や手法は異なり、調査中のものもあります。
また、情報漏洩が公表された日付と、実際に侵入が発生した日付も同じではありません。
そのため、9月3日にBaiduの大会が終了し、その後に日本で情報漏洩の公表が集中したからといって、直ちに両者が関係しているとは結論づけられません。
しかし、今回の一連の出来事を考えるうえで、10月13日にNICTが公表した調査結果は極めて重要です。
3．NICTが特定した「Androidアプリのリバースエンジニアリング→バックエンドAPI攻撃」
2026年10月13日、NICTの脅威情報分析チームLETTICEは、国内で相次ぐ情報漏洩の原因の一つとして、新しい攻撃手法を特定したと発表しました。
NICT公式：相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」（2026年10月13日）
NICTはこの手法を、A2B攻撃（App-to-Backend Attack）と名付けています。
仕組みは、概念的には次のようなものです。
第一段階：公開Androidアプリをリバースエンジニアリングする
企業がGoogle Playなどで公開しているAndroidアプリは、誰でも入手できます。
攻撃者は、このアプリの構造や通信の仕組みを解析することで、アプリがどのようなサーバと通信しているのか、どのようなAPIを呼び出しているのか、といった情報を調べます。
リバースエンジニアリングとは、完成したソフトウェアを解析して、その内部構造や動作原理を調べることです。
第二段階：バックエンドAPIの仕様と弱点を調査する
スマートフォンアプリは、通常、顧客情報のすべてを端末内に保持しているわけではありません。
ログイン情報、会員情報、予約情報、購買履歴などのデータは、企業のバックエンドサーバで管理されています。
アプリはAPIを通じて必要な情報を取得し、画面に表示します。
ここでバックエンドAPIの認証や認可に不備があると、本来アクセス権限のないデータにまでアクセスできてしまう可能性があります。
重要なのは、Androidアプリ自体に脆弱性が存在しなくても、バックエンド側の設計や実装に欠陥があれば攻撃が成立し得ることです。
第三段階：発見した弱点を利用して、顧客データベースに不正アクセスする
攻撃者はアプリの解析から得た情報を手がかりに、バックエンドサーバの弱点を狙います。
アクセス権限の検証が不十分であったり、APIの処理に問題があったりすると、大量の顧客情報が不正に取得される危険があります。
NICTが公表したA2B攻撃は、まさにこのような仕組みです。
さらに重要なのは、NICTが、AIを利用することでアプリの解析や脆弱性探索が効率化され、こうした攻撃がより多くのシステムに広がる可能性を指摘していることです。
これに先立つ10月8日、JPCERT/CCも、国内で相次ぐ不正アクセスについて注意喚起を発表していました。
参考：JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」
JPCERT/CCは、一般公開されているスマートフォンアプリを解析してAPIの接続先やキーを特定し、本来画面操作では実行できない内部APIに対して不正操作を行う事例などを報告しています。
ここで、Androidアプリのリバースエンジニアリングと、企業のバックエンドAPIを攻撃する手口が、国内でも実際に確認されていることが明らかになりました。
4．この攻撃をオープンウェイトLLMとAIエージェントで自動化するとどうなるか
ここからは、NICTが確認した攻撃手法と、中国のBaiduの大会で示されたAIエージェント技術を組み合わせて考えます。
DeepSeekなどのオープンウェイトLLMは、モデルの重みが公開されており、一定の条件の下で独自の環境に導入したり、カスタマイズしたりできます。
また、ARTEXのようなAIエージェント型システムは、LLMを推論エンジンとして利用しながら、複数のツールを組み合わせてセキュリティ調査を自動化します。
韓国の金融機関への攻撃では、実際にARTEXとDeepSeek系LLMなどが組み合わされていたことがCrowdStrikeによって確認されています。
ただし、攻撃者がオープンウェイトモデルを自分で運用していたとは限りません。CrowdStrikeの報告では、DeepSeekへの接続にAPIの仲介サービスが使われていた可能性が指摘されています。
また、今回の攻撃で安全機構を除去したAbliterated AIモデルが使われたという証拠もありません。（今泉注：Abliterated AIモデルとはAIが犯罪等に悪用されるのを防ぐガードレールを外したモデル。無検閲モデルとも呼ばれる）
それでは、こうした技術を、NICTが確認したA2B攻撃に組み合わせると何が起こるでしょうか。
公開Androidアプリの解析、APIの構造の把握、脆弱性候補の調査、結果の評価といった作業を、AIエージェントに連続して実行させることが技術的に可能になります。
従来は人間の専門技術者が時間をかけて行っていた一連の調査を、AIが高速に処理できるようになるわけです。
さらに、複数のAIエージェントを並列に実行する仕組みを使えば、多数の企業の公開アプリやWebサービスを、同時並行で調査する能力も高まります。
攻撃者側にとって、時間と人的資源の制約が大幅に小さくなります。
ここが、従来のサイバー攻撃とAIエージェントによる攻撃の大きな違いです。
注目しているのは、特定の脆弱性そのものというよりも、攻撃対象の探索から侵入可能性の評価までを、AIエージェントが高速かつ大量に処理できるようになったことです。
これまで、高度な侵入テストには高度な専門技術者が必要でした。
しかし、AIエージェントが多くの作業を代替すれば、攻撃者が持つ人的能力の限界が緩和されます。
結果として、サイバー攻撃を実行できる主体が増加し、攻撃の速度も規模も拡大する可能性があります。
5．この三つの出来事は、本当につながっているのか
ここまでの話を時系列で整理します。
-
8月5日〜9月3日： 中国でBaidu主催のAIエージェント攻防能力コンテストが開催され、150超のチームが参加。ARTEXが優勝。
-
9月中旬〜10月初旬： 日本でGyazo、タイムズカー、セイコーマートなどの顧客情報漏洩が相次いで公表される。
-
9月下旬〜10月初旬： 韓国の金融機関を標的とする攻撃でARTEXが利用される。
-
10月7日： CrowdStrikeがARTEXと複数のLLMを組み合わせた韓国への攻撃について詳細を公表。
-
10月8日： JPCERT/CCが、公開アプリの解析による内部APIへの不正操作を含む、国内の攻撃手法について注意喚起。
-
10月13日： NICTがAndroidアプリの解析を起点とするA2B攻撃を特定し、公表。
この時系列は非常に興味深いものです。
ただし、確認された事実を厳密に区別する必要があります。
第一に、中国で高度なAIエージェント型ペネトレーションテスト技術が開発され、コンテストで成果が示されたことは事実です。
第二に、その代表的なツールであるARTEXが、韓国の金融機関を狙う実際の攻撃に利用されたことも、CrowdStrikeの調査によって裏付けられています。
第三に、日本でも公開Androidアプリを解析し、バックエンドAPIを攻撃する手法が確認されたことは、NICTとJPCERT/CCの発表によって明らかです。
しかし、日本で相次いだ顧客情報漏洩の大部分にARTEXや同種のAIエージェントが使われたという証拠は、現時点では公表されていません。
また、韓国と日本の攻撃が同じグループによるものかどうかも明らかになっていません。
一方、技術的な観点では、これらの出来事は一つの大きな方向を示しています。
従来は人間が時間をかけて実施していたシステムの調査、脆弱性の探索、侵入可能性の評価を、AIエージェントが実行するようになっています。
その技術が、すでに実際の犯罪に転用されているのです。
6．日本企業に突き付けられた新しい課題
NICTの発表で、もう一つ重要な点があります。
それは、スマートフォンアプリを公開している企業が、自社のバックエンドシステムの仕様を、攻撃者にも解析されることを前提として設計しなければならないということです。（今泉注：今後公開されるアプリもそうだが、すでに日本企業がコンシューマーに提供済のAndroidアプリの"中身"と顧客データベースとの接続のセキュア度合も緊急総点検することが望ましい。経営者には、場合によってはコンシューマ向けAndroidアプリの使用を即座に遮断するぐらいの意思決定が求められる。）
企業のアプリは、顧客が便利にサービスを利用するために公開されています。
しかし、攻撃者も同じアプリを自由に入手し、その動作を調べることができます。
したがって、アプリ内のコードや通信仕様が秘密であることに依存したセキュリティ設計は、根本的に危険です。
本来は、バックエンドAPIが、利用者ごとのアクセス権限を厳密に確認し、許可されたデータだけを返す仕組みになっていなければなりません。
AIエージェントの登場は、このような従来から存在していた問題を、さらに深刻にする可能性があります。
なぜなら、人間が一社ずつ時間をかけて調査していた作業を、AIが大量に実行できるようになるからです。
今後、企業のサイバーセキュリティ対策では、既知の脆弱性へのパッチ適用だけでなく、APIの認証・認可、データアクセス制御、継続的な脆弱性検査、不審なデータ取得の検知などを、一体として見直す必要があります。
そして、攻撃側がAIを利用する以上、防御側でもAIを活用して調査・検知・対処を高速化する必要性が高まっていきます。
おわりに：Baiduの大会、韓国の実攻撃、日本の大量情報漏洩
今回の三題噺の出発点は、X上のセキュリティ専門家による、BaiduのAI攻防大会と、日本で相次ぐ情報漏洩のタイミングに関する指摘でした。
Koichi氏のX投稿：9月3日までBaidu主催でAIエージェントによる攻撃能力に関するイベントが開催されてるんですよね。そして9月半ば以降から情報漏洩ラッシュ。
当初は、時間的な一致に着目した問題提起にすぎませんでした。
しかし、その後のCrowdStrikeの調査によって、Baiduの大会で優勝したARTEXが韓国の金融機関に対する実攻撃に使用されていたことが明らかになりました。
また、NICTとJPCERT/CCの調査によって、日本国内でも公開アプリの解析を起点としたバックエンドAPI攻撃が確認されました。
これらの事実は、同じ攻撃者が日韓双方を狙ったことを証明するものではありません。
しかし、AIエージェントによる攻撃能力が、急速に実用化され、現実のサイバー犯罪に取り込まれ始めていることは示しています。
今後、日本企業の顧客情報漏洩事件を調査する際には、従来型の脆弱性悪用だけでなく、AIエージェントによる自律的な調査・侵入活動が関与していなかったかという視点が不可欠になると考えます。
2026年秋は、AIエージェントが企業の業務を効率化する技術であると同時に、攻撃者の能力を大幅に高める技術でもあることを、改めて認識する時期になったのではないでしょうか。