GoogleがAI生成ゼロデイエクスプロイトを初検出、大規模悪用計画を未然に阻止

概要

GoogleのThreat Intelligence Group（GTIG）は2026年5月11日、AIモデルを活用して生成されたゼロデイエクスプロイトを初めて検出したと発表した。あるサイバー犯罪グループが、オープンソースのウェブベース管理ツールに存在する2要素認証（2FA）バイパス脆弱性を悪用するPythonスクリプトをAIで開発。このグループは同エクスプロイトを「大規模悪用イベント」に使用する計画だったが、Googleの能動的な検出活動によって計画は阻止された。Googleは影響を受けたベンダーと協力して脆弱性を責任ある形で開示し、脅威活動の封じ込めに成功したと述べている。

AI生成エクスプロイトの技術的特徴

GTIGがこのエクスプロイトをAI生成と断定した根拠は、コードの構造にある。問題のPythonスクリプトには、LLMの学習データに特有の「教科書的なコードスタイル」が随所に見られ、詳細な教育的docstring、整然とした構造、さらにはAIが誤って生成した架空のCVSSスコアまで含まれていた。Googleは「このエクスプロイトの構造と内容から、攻撃者がAIモデルを利用して脆弱性の発見と武器化を支援したと高い確信を持って判断している」とコメントしている。なお、Googleは自社のGeminiが使用されたとは考えていないとしている。

中国・北朝鮮など国家支援グループもAIを積極活用

今回の事例は個別の犯罪グループに留まらず、国家支援型の脅威アクターもAIを積極的に悪用していることが報告書で明らかにされた。中国に関連するUNC2814はTP-Linkなどの組み込みデバイスファームウェアの脆弱性研究にAIを利用。北朝鮮のAPT45は数千のプロンプトを再帰的に送信してCVEを分析し、概念実証（PoC）エクスプロイトを検証する活動が確認されており、脆弱性発見へのAI活用に強い関心を示しているという。GTIGは、AIが攻撃者にとって「強力なフォース・マルチプライヤー」となっており、脆弱性の発見と武器化を大規模かつ高速に行えるようになったと警告している。

Googleの防御AIと今後の展望

防御側でもGoogleはAIを積極活用しており、Google DeepMindとProject Zeroが共同開発した「Big Sleep」が未知の脆弱性の自動検出に実績を上げている。今回もGoogleの能動的な監視活動が攻撃計画の発覚につながった。GTIGはレポートの中で、AIの急速な普及により攻撃と防御の双方でAI利用が加速すると分析している。レポートではLLMプロバイダがAI関連APIアグリゲータのネットワークインフラデータを分析して攻撃活動を検知する取り組みや、AIサプライチェーン保護の一例としてOpenClawとVirusTotalが提携し、公開スキルマーケットプレイス「ClawHub」にCode Insightによる自動セキュリティスキャンを統合した事例が紹介されている。