AI生成の攻撃コードがWAFを89%すり抜け 攻撃側の「AI活用」が防御を上回る現実

これまでの流れ

生成AIを悪用したサイバー攻撃の高度化は、防御側の対応を急がせています。

要点

• AIが生成したSQLインジェクション(データベースを不正操作する攻撃手法)の亜種攻撃が、オープンソースのWebアプリケーションファイアウォール(WAF)「ModSecurity」を89%の確率ですり抜けるとする調査結果が報じられました。
• AWS WAFに対しても、SQLインジェクション攻撃の約41%が検知を突破したとされています。
• クロスサイトスクリプティング(XSS、悪意あるスクリプトを埋め込む攻撃手法)攻撃でも、ModSecurityの検知を80%の確率で回避できたといいます。Akamai Technologiesのセキュリティ専門家も、同様の難読化攻撃を独自に観測していると説明しています。
• 従来、こうした防御回避の攻撃コードの開発には人間が数日から数週間を要していましたが、生成AIの能力を使えば、わずか数分でこれを実現できるようになったことが背景にあるとされています。

なぜ重要か

WAFは、Webアプリケーションを様々な攻撃から守るための基本的な防御手段として広く使われていますが、その検知をAIが高い確率ですり抜けられるという結果は、既存のセキュリティ対策の前提を揺るがすものです。攻撃コードの開発が『数日〜数週間』から『数分』に短縮されたことで、攻撃側は次々と新しい亜種を試すことが可能になり、防御側は従来よりもはるかに速いペースでの対応を迫られることになります。AIコーディング支援が開発現場に広がる中、新たな脆弱性を生み出すリスクとも隣り合わせだという指摘は、AI活用の恩恵とリスクが表裏一体であることを改めて示しています。

※ 調査結果の具体的な検証条件や、実際の攻撃発生件数への影響については、記事執筆時点(2026年8月3日)で詳細が確認できていません。