相次ぐ情報流出とPHPの重大な脆弱性：AgenticSec中谷翔氏が語るAI時代のサイバー攻撃
テレ東BIZ ダイジェスト
2026年秋、日本企業を狙ったサイバー攻撃と情報流出の公表が続いている。テレ東BIZはこの問題を2回にわたって取り上げ、どちらにもAgenticSec CEOの中谷翔氏が出演した。10月8日の配信では、相次ぐ流出の背景に最新AIモデル、とくに中国製のオープンウェイトモデル「GLM-5.3」があるのかが論点になった。10月22日の緊急配信では、世界のウェブサイトの約7割で使われるとされるPHPに見つかった重大な脆弱性を扱った。中谷氏はAIの進歩と攻撃の増加には関連があると個人的に見ている。ただし、個々の攻撃にAIが使われたと断定できる証拠はないという立場を一貫して示した。
業種を問わず広がる情報流出
10月8日の配信は、被害の規模を確認するところから始まった。番組の紹介によれば、ディスカウントストアを運営するミスターマックスで最大約173万人分、GMOのアンケートサイトで最大約95万件、焼肉きんぐで会員のほぼ全件にあたる1078万件、旭化成の子会社で55万件、別の企業で10万件の顧客情報が流出した可能性が発表された。大和証券や大阪大学へのランサムウェア攻撃もあり、被害は業種を選ばない。政府側では、古川デジタル大臣が閣議後の会見で「自分の情報は自分で守るという意識を持ってほしい」と呼びかけ、原官房長官も「大変深刻に受け止めている」と述べたという。
中谷氏は、9月の終わり頃からタイムズの事案を皮切りに、ほぼ毎日のように数件の漏洩が報告されるようになったと振り返る。セキュリティを守る企業を運営する立場として「胸を痛めている」と語った。
攻撃が増えたのか、過去の被害が表に出ただけなのか
司会者は、ここ数週間で攻撃そのものが急増したのか、もともとあった被害が今になって表に出ているのかを尋ねた。中谷氏の答えは「両方ある」だった。
報告件数が大きく増えているのは確かだが、攻撃を受けた時期はそれとは別に考える必要があると中谷氏は言う。多くの企業がやられているのを見て、自社が被害を受けていないか再点検を指示した企業もあるはずだ。その結果、数か月前にすでに侵入されていたと判明したケースも事例の中に含まれているだろうと中谷氏は推測する。攻撃が実際に増えているのも事実だが、目に入る事件の増加がすべて現在の攻撃によるものとは限らない。
番組は警察庁の発表も紹介した。今年上半期に検知された、サイバー攻撃の準備段階とされる不審なアクセスは、1つのIPアドレスあたり1日1万3687件に達した。前年同期比で50%増え、過去最多だという。
GLM-5.3への注目：高い攻撃能力と弱いガードレール
司会者は、最新のAIが攻撃増加の一因ではないかと考えていると述べた。中谷氏も個人的には同じ考えで、AIモデルの進歩と攻撃の増加には関連を感じているという。一方で、いま増えている攻撃が新しいモデルによるものだという証拠は世の中に出ておらず、断定はできないと念を押した。
そのうえで中谷氏が注目しているのが、中国などが盛んに開発しているオープンウェイトモデルだ。中でもセキュリティ業界で話題になっているのが「GLM-5.3」である。中谷氏の説明では、GLM-5.3は4月にリリースされたAnthropicの「ミトス」と同程度のサイバー攻撃能力を持つ。しかし、ミトス、フェイブル、アストラ、GPT-6 ソルといった米国のフロンティアモデルに備わっている「危険なサイバー攻撃はしない」というガードレールが、GLM-5.3にはあまりない。この点についてはAnthropicから詳しいレポートが出ているという。ガードレールが弱いのに能力は高いモデルが出回ってきたことも、攻撃増加に関連しているのではないか。中谷氏はこれを個人的な見方として述べた。
GLM-5.3がどれほど高性能なのかと問われると、中谷氏は「やっぱりすごい」と答えた。ミトスが出た時点でサイバーセキュリティ能力が一変したと報じられたが、4月のミトスからわずか半年ほどで、同等のものがオープンウェイトで手に入るようになった。しかも攻撃者にとってはガードレールがないため悪用しやすい。こうした事態は予想されていたが、予想より少し早く、攻撃の増え方も重なって「やっぱり来てしまったか」と感じているという。影響の大きさ自体は想像どおりだが、想像以上に気になる部分もあると語った。
オープンウェイトとは何か、なぜ問題になるのか
司会者は「オープンウェイト」という言葉を補足した。ChatGPTやAnthropicのClaudeシリーズのようなクローズドモデルと、完全なオープンソースの中間にあたるのがオープンウェイトで、ユーザーが重みに手を加え、自分の好みに合わせてチューニングできる。中谷氏はこの理解を正しいと認めた。
中谷氏によれば、オープンウェイトモデルはチューニングせずに自分の環境にダウンロードして手元のマシンで動かすこともできる。さらに、モデル内部の結合の重みを書き換えれば、「セキュリティ的に危ないことはするな」というアラインメントの部分をいじることも技術的には可能だ。GLM-5.3はもともとガードレールが弱いため、現状では重みを書き換えてまで悪用する必要はあまりなさそうに見えるという。ただ、今後オープンウェイトモデルのガードレールが厳しくなった場合、重みを改変したうえで悪用する例が出てきても不思議ではないと中谷氏は見ている。
米中の開発方針の違いという見立て
ガードレールの強さは開発企業のモラル次第なのか、という質問に対して、中谷氏はモラルに加え、何を目指して開発しているか、どんなユーザーに使ってほしいかによると答えた。
GLM-5.3を提供する中国企業Z.aiがどんな狙いで公開しているのか、正確なことは自分には分からないと中谷氏は断ったうえで、こう見立てを示した。中国側は米国のOpenAIやAnthropicに「追いつけ追い越せ」で、何よりもまず性能を重視している。一方で米国企業は、サイバーセキュリティ能力や数学的能力についてはベンチマークで測れる範囲ではかなり行き着いている。新たなベンチマークを増やして競争を続けるより、安全性に注目したり、サイバーや数学以外の汎用的な能力を伸ばしたりする方向に向かっているのではないか。中国がセキュリティ分野の伸びに注力しているのかという問いには、正確な情報がないので何とも言えないとしつつ、GLM-5.3が少なくともセキュリティ能力を目標の1つに置いていることは、能力の伸び方から確実に感じると述べた。
このようなモデルの登場は予想していたことかと問われ、中谷氏は「予想していた」と答えた。米国のフロンティアモデルに対して、オープンウェイト系モデルの性能は6〜10か月ほど遅れて追いつくという傾向がこれまで続いてきた。以前の取材でも半年ちょっとで追いつくだろうと話しており、実際その通りになったという。
なぜAIによる攻撃だと断定できないのか
一連の事案をGLMやAIの仕業だと断定できない理由について、中谷氏は図を使って説明した。被害を受けたシステムに2か所から攻撃通信が届く。一方はAIによるサイバー攻撃、もう一方はAIを使わない従来型の攻撃である。被害側からはこの2つの見分けがつかない、というのが図の要点だ。AIの攻撃と従来の攻撃すら区別できないのだから、AI攻撃同士でどのモデルが使われたかはなおさら分からない。被害側でモデルを特定するのは難しいと中谷氏は説明した。
図には「ハーネス」という要素も描かれていた。中谷氏の説明では、AIモデル自体はChatGPTとの会話のように、言語(トークン)を受け取って言語を返すだけだ。それだけではサイバー攻撃もコードの生成・実行もできない。そこで、コンピュータのプログラムを実行する能力をモデルの横に持たせる仕組みがハーネスで、ツールの利用やソースコードの実行といった能力をまとめたものである。AIモデルが指示書を作り、ハーネスがそれを実行するという2段階の構造になっている。現在はCodexやClaude Codeのようなコーディングエージェントを使えば、ユーザーが指示を出すだけで、モデルが必要に応じてハーネスを呼び出し、ユーザーの望む行動まで自動で行うと中谷氏は述べた。
ガードレールはどこで働くのかという質問には、モデル側とハーネス側の両方だと答えた。モデル側では「アラインメント」と呼ばれる技術によって、言ってはいけないことが学習段階でモデルに埋め込まれ、そもそも出力されにくくなっている。ただ、それだけでは保証として弱すぎるので、ハーネス側でもブラックリストのように「これは絶対にできない」という制限をかけられる。この2つを合わせたものがガードレールだ。GLMにもガードレールがないわけではないが、その水準が非常に低いという。
攻撃の量で見分けられないのかという問いもあった。AIなら24時間365日攻撃を出し続けられるのではないか、という素朴な疑問である。中谷氏は、攻撃者が1つずつ手で通信を送る場合と比べれば量は確かに違うと認めた。しかし従来も、攻撃者が自作の攻撃プログラムをループで24時間回すことは行われていた。それと比べれば、発信元がAIなのか普通のプログラムなのかは区別できなくなっているという。
10月22日：PHPに見つかった重大な脆弱性
2本目は10月22日の緊急ライブ配信である。世界のウェブサイトの約7割を構成するとされるプログラミング言語PHPに、最高レベルの重大な脆弱性が発覚した。番組によれば、国内でもメガバンクや企業、行政のシステムが停止や一時停止に追い込まれている。
PHPは30年以上前からある言語で、司会者は「老舗」と表現した。中谷氏も、ウェブアプリケーションを作る動きが始まった頃に最も流行っていた言語がPHPだったと振り返る。現在、工学系の学生が最初に学ぶのは圧倒的にPythonが多いが、中谷氏が学生だった頃のPythonはまだマイナーな言語で、PHPやJavaがよく使われていたという。Javaではなく PHPを選ぶ人がいた理由として、中谷氏はJavaより覚えることがやや少なく、やりたいことを素直に書けるという取りつきやすさを挙げた。
7割というシェアの高さについては、WordPressの存在が大きいと中谷氏は見ている。ほかにWikipediaにも使われているWiki系のCMSにもPHP製のものが広く普及しており、その影響もあるだろうという。中谷氏自身も昔はPHPを使っていたそうだ。
「停止」の多くは攻撃ではなく予防的な判断
番組は、銀行、航空会社、ゼンショーホールディングス、政府・自治体などに影響が出ていると紹介した。これに対し中谷氏は、「停止した」を「攻撃を受けた」と受け取らないほうがよいと注意を促した。実際に攻撃を受けた事案も少なくとも1件は把握しているが、多くは、PHPが危ないと聞いた企業が影響範囲を特定できるまで自主的に一時停止したものだという。また、レンタルサーバー事業者が自社の判断でサービスを止めたため、それを利用していた企業のサイトも閉じられたケースもある。攻撃を受けないようにまず止める、という判断による停止が多いというのが中谷氏の見方だ。
高市総理のホームページも一時停止した。高市総理自身がXで「PHPの件は皆様対応してください」と発信し、関連するgo.jpのサイトも止めたと発言していた。中谷氏はセキュリティエンジニアとしてこれを「英断」だったと評価する。システムを止めるのは勇気のいる判断で、エンジニアは技術的には止められても、止めてよいかどうかは最終的には経営判断になる。首相がこう言っているという事実は経営者にとって強力な判断材料になるので、発信の意義は大きいと中谷氏は述べた。さらに、日本国内だけでなく海外のセキュリティ関係者も、日本の首相がこう発信していることを好意的に取り上げているのをXで見かけたという。
世界でも注目された「PHP2シェル」
中谷氏は出演前に自宅でGoogleトレンドを調べたという。日本語のXを見ているので日本で話題になっているように見えるが、海外ではどうなのかを確かめるためだ。今回の一連の攻撃の通称「PHP2シェル」で全世界を対象に調べたところ、関心が最も高かったのはオランダで、オーストラリア、中国、スイスなどが続いた。日本だけの話ではなく、世界中で危機が察知されている様子がうかがえたという。
司会者は、AWSのシステム停止ならこれほど広範囲に一瞬で影響が出ることもあるが、サイバー攻撃でここまでの例はあまり記憶にないと述べた。中谷氏は、AWSの停止とサイバー攻撃のリスクは影響の性質がまったく違うと説明する。停止はある意味で止まるだけだが、攻撃を受ければデータが流出したり、ウェブサイトを改ざんされたりする可能性がある。止まるより一段高い影響がありうるので、今回のような反応は自然だという。
2つの脆弱性：遠隔コード実行につながるメモリ管理のバグ
今回見つかった脆弱性は2つあり、それぞれにCVE番号が付いている。番号は「CVE-2026-」で始まり、末尾の1桁だけが8と9で異なる。CVE番号は国際的に通用する脆弱性のIDで、番号を言えばどの脆弱性か調べられる。この2つをまとめて「PHP2シェル」と通称している、と中谷氏は理解している。
どちらも非常に脅威の高い攻撃、RCE(リモートコードエグゼキューション、遠隔コード実行)につながる。PHPで動くサーバーに、攻撃者がインターネット越しに悪意ある通信を送るだけで(1回とは限らない)、サーバーの制御を乗っ取り、そのサーバーでできることを基本的に何でもできてしまう。中谷氏はこれを極めて危険なものだと説明した。
30年前から潜んでいた脆弱性がなぜ今見つかったのか。中谷氏によれば、2つともメモリ管理に起因するバグである。C言語のような昔ながらの言語では、メモリを確保して値を書き込み、使い終わったら解放する、という処理を頻繁に行う。この確保や解放をまとめてメモリ管理と呼ぶ。メモリ管理のバグは人間には見つけにくい。メモリを確保する部分と解放する部分がコード上で離れていることが多く、別のファイルにあることさえあるため、プログラム全体を俯瞰しないと見つからないからだ。
近年、LLMによってソースコードから脆弱性を探す能力が飛躍的に上がった。PHPはオープンソースなのでソースコードを入手できる。そのソースコードからAIでメモリ管理系のバグが見つかったのではないか、と中谷氏は考えている。実際、発見したカリフという企業も、そのようにして探したと公表しているという。
2つの脆弱性はどう違うのか
上下2つの脆弱性の違いについて、中谷氏は「難しすぎるので、分からなくても気にしなくていい」と前置きしてから説明した。WordPressのようなウェブサーバーを想定する。
1つ目では、攻撃者が極端に大きなデータを含むリクエストを送り、PHP側に「1つのリクエストとしては大きすぎる」と判断させる。PHPの処理系内部には、通常のサイズなら決まった処理を行い、大きすぎるデータが来たらエラー処理に移る仕組みがある。通常の処理を少し進めた後でエラー処理に移ると、途中で行っていたメモリの確保か解放(どちらだったかは忘れたと中谷氏は述べた)が中途半端になる。その結果、管理しきれていない「浮いた」メモリ状態が生じるという。
2つ目はさらに難しい。リクエストを2回送ったとする。2回のリクエストが同じ人から来るとは限らないので、本来はそれぞれ独立に処理されるべきだ。ところが、PHPの特定のウェブサーバー実装では、リクエストを処理する「ワーカー」という機構を2つのリクエストで共用している箇所があった。一方のリクエストで何らかのエラーを起こすと、ワーカーに状態が残り、2回目のリクエストがエラー状態のリクエストのデータを使い回せてしまう。どちらもメモリの異常な状態を引き起こせる点は共通で、その起こし方が異なる、というのが中谷氏のまとめである。
パッチ公開前に攻撃方法が漏れた経緯
番組は今回の発覚の経緯も整理した。2件の脆弱性がPHPの開発チームに報告されたのは今年8月頃で、最初に報告したカリフの研究者はAIを「相棒」にして調べたと公表している。影響の大きいシステムの脆弱性は、すぐに公表せず、まず修正プログラム(パッチ)を作り、パッチを公開してから中身を明らかにするのが一般的だとされる。今回は22日にパッチを公開する予定だったが、前日の21日に情報が漏れ、攻撃者がそれをもとに先回りして攻撃を始めた。
中谷氏はこの流れを大筋で正しいとしたうえで、漏れたのはパッチではなく、パッチ適用前のシステムへの攻撃方法だったと訂正した。こうした事態は「1年に何度かは見る」程度にはあるという。理由はさまざまで、脆弱性を見つけた技術者が自分で言いたいという功名心の場合もある。手続きのスケジュールを勘違いし、脆弱性の内容とパッチがすでに公開されたと思い込んで攻撃方法を先に出してしまうパターンもある。
それでも今回が特別なのは、影響の大きいクリティカルなバグであり、しかも世界の7割のウェブサイトで使われる言語そのものの脆弱性だったからだ。司会者が指摘したように、タイムズの件などこれまでの事案は基本的に個別企業の脆弱性だった。今回はそれらの土台となるプログラミング言語自体に穴が見つかった。中谷氏は、言語の脆弱性であり、遠隔コード実行まで可能で、さらに攻撃方法が先に漏れたという点を挙げ、セキュリティ担当者にとっては「悪夢のような事態」だと評した。
皆様、こんにちは。本日は連日報じられている企業を狙ったサイバー攻撃と大規模な情報流出について深掘りします。連日報じられている情報流出ですが、その規模と範囲は広がり続けています。
ディスカウントストアを運営するミスターマックスでは最大およそ173万人分。GMOのアンケートサイトでは最大およそ95万件、焼肉きんぐでは会員ほぼ全件にあたる1078万件、旭化成子会社では55万件、シチズン時計では10万件の顧客情報が流出した可能性があると発表されました。さらに大和証券や大阪大学へのランサムウェア攻撃など、業種を問わず甚大な被害が出ています。
こうした事態を受け、古川デジタル大臣は閣議後の会見で「自分の情報は自分で守るという意識を持ってほしい」と呼びかけ、原官房長官も「大変深刻に受け止めている」と警戒を強めています。ここ数週間で頻発しているように見えるんですが、中谷さんはどうご覧になっていますか？
そうですね。私も普段、Xを暇があれば見てるんですけど、9月の終わり頃からどんどん、タイムズの事案をはじめとして、ほぼ毎日のように数件、漏洩みたいな事案が出てきて、やっぱりセキュリティを守りたいという企業を運営している立場からも胸を痛めている次第ですね。
これは、この数週間増したと見ていいんですか？ それとも元々あったものが今、顕在化してるってイメージなんですか？
そうですね。顕在化ってパターンもあったかと思っていて、報告事例が増えたっていうのは、本当に今かなり増えたなって感じなんですけど、じゃあ攻撃をされたタイミングがいつであるかっていうのは、また別の話としてあると思っていて。たくさんの会社様がやられてるって状況を見て、他の企業様によっては「ちょっと再点検して、うちは食らわなかったのか、もう一度見なさい」みたいな指示があって、その結果「やっぱり数か月前にやられてました」っていうことも、おそらくあったかと思うので、事例の中に。ですので、攻撃が今増えているって事実もあるんですけれども、今、我々が見る事件が増えたっていうのは、全部が全部今攻撃されているのか、あるいはちょっと遡って今明らかになったのかっていう、両方あると思います。
企業の警戒感というのも強まっているように感じられますが、警察庁の発表によりますと、今年上半期に検知されたサイバー攻撃の準備段階とされる不審なアクセス数は、一つのIPアドレスに対して1日に1万3687件に上ったとのことです。これは前年の同じ時期と比べて50％も増加し、過去最多となっています。中谷さん、個人的には、この最新のAIっていうのが今回のサイバー攻撃を増しているのではないかと見ているんですけど、実際どう思われますか？
まず私も個人的には同じ考えで、AIのモデルの進歩が高まってきて、今、攻撃が増えているってところ、これには関連を感じております。ただ、とはいえ、今増えている攻撃っていうのが新しいモデルによるものなのかどうなのか、これが世の中に証拠が出回っているわけではないので、ちょっと断定はできないっていう状況ではあります。
これ、それこそ最先端のAIモデルを使われているかどうかっていうところで言うと、今私が注目してるのはオープンウェイトモデル。中国とかがよく作っているオープンウェイトモデルなんかで、特に最近セキュリティの界隈で話題なのはGLM-5.3っていうモデルですね。これが4月にリリースされたAnthropicのMythosなどと比べても同等程度のサイバーセキュリティの攻撃能力を持っていて、かつMythos、Fable、あとAstra、GPT-6 Solみたいな米国のフロンティアモデルには備わってるガードレール、あんまりサイバーセキュリティ的に危険な攻撃はしないようにしようって、そういうガードレールがGLM-5.3の方にはあまりないっていうところが、Anthropicから詳しいレポートが出て。やっぱりサイバー攻撃が今増えてるのは、GLM-5.3みたいにガードレールはないけれども能力が高いみたいなモデルが出回ってきた、これも関連しているのではないかと個人的には見ております。
GLM-5.3っていうのも、やっぱりそれぐらいすごいですか？
やっぱりすごいですよね。Mythosでまずサイバーセキュリティ能力がガラッと変わった、高まったっていう報道があって、その後、4月がMythosで今が10月ですから、半年ぐらいでオープンウェイトでそんなものが手に入るようになってしまった。かつ攻撃者にとってはガードレールもないから攻撃に使いやすいっていうのが出てきたっていうのは、予想はされていたことですけれども、予想されていたペースよりやや早いのと、あとこの攻撃の増え方も相まって、やっぱり来てしまったか。来たら影響は想像通りでかかったけれども、想像以上になんか気になるところでもあるなという、そういうふうに思ってます。
ちょっと補足すると、オープンウェイトっていうのがポイントだというところで言うと、いわゆる皆さんがよくご存じのChatGPTだったり、さっきから言っているMythos、つまりAnthropicが作ってるClaudeシリーズなんかはクローズドモデルに対して、オープンソースというのもあるんですけど、その間ぐらいになるのがオープンウェイト。つまり、そのウェイトっていうのを少しユーザーがいじれる。ChatGPT自体の設定を変えるっていうのは難しいんですけれども、オープンウェイトだと少しユーザーが自分の好みに合わせたチューニングができると、そういうことですか？
そう、それは合ってます。オープンウェイトモデル、チューニングせずに単に自分の環境にダウンロードして高性能のマシンで使うってことももちろんできるし、あと、そのモデルのおっしゃっていただいたウェイトっていう、モデル同士の結合の重みっていうのを切り替えることで、例えばアラインメントと呼ばれるような「セキュリティ的に危ないことはするなよ」、そういう制御みたいな部分をいじることも技術的には可能なので。GLM-5.3に対しては、その重みをいじってまでやらないといけないことがあまりなさそうに今は見えてるんですが、今後もしかしたらオープンウェイトモデルもガードレール、アラインメントが厳しくなってきたって時には、もしかしたらオープンウェイトを生かして、その辺をいじった上で悪用をすることが、これから出てきても不思議ではないと思います。
どれだけのガードレールを設けるかっていうのは、開発企業のモラルに委ねられてるっていう側面なんですかね。
モラルや、あと何を目指して開発しているか、どういうユーザーに使ってもらいたいか、その辺りに起因すると思っておりまして。例えばGLM-5.3の提供企業であるZ.aiっていう中国の会社、これはどのような目論見であれを出しているか、正確なことは私は知り得ないんですけれども、やっぱり米国のOpenAIやAnthropicと比べると、何よりまずは性能が大事。アメリカに追いつけ追い越せってところが最も大事になっていて、一方でアメリカの方は、もうサイバーセキュリティ能力とか数学的な能力については、ベンチマークで分かる範囲、行くところまでだいぶ行ってるってところがあるので、これ以上それを伸ばして、またちょっと理解がし難いベンチマークを増やしてベンチマーク競争するよりは、安全性とかに着目したりとか、サイバー、数学以外の裾を広げるようなAGI的なジェネラルの能力を伸ばす方に、今アメリカ企業は行こうとしてるんじゃないかなと私は思ってます。
なるほど。中国は結構まだセキュリティ分野でのその伸びに注力してるように。
これはちょっと正確な情報がないので何とも言えないんですけど、GLM-5.3っていうモデルについては確実にセキュリティ能力にターゲットを少なくとも一つ置いているなっていうレベルの能力の伸びは感じますね。
中谷さんの目から見ると、Mythosが出てから数か月ですよね。中国からこういうGLMのような、フロンティアモデルに匹敵する性能を持つ、しかもそれがオープンウェイトだったというモデルが世に放たれたっていうことは、ある程度予想されていたことなんですか？
そうですね。予想してました。以前どちらかの取材でも申したんですけど、基本的に今までOpenAI、Anthropicなどの米国フロンティアモデルの数か月遅れ、大体6から10か月と言われてたんですが、数か月遅れでオープンウェイト系のモデルも性能が追いついてくるって傾向が今までずっとあったんですよね。追従するだろうし、オープンウェイト系のモデルも半年ちょい経てば追従するでしょうかってお話ししたと思うんですが、実際やっぱりその通りになったなと思ってます。
なるほど。ただ、今回の一連の事案が全てGLMであったり、AIだったりっていうのを断定できない理由はどういうことなんですか？
そうですね。図をお出ししながら説明するんですけれども、こちらの図で書いてあるところでポイントなのは、一番右側の被害システムってところが攻撃通信を2か所から受けたとして、それらが見分けがつかないってところがポイントなんですけど。この2か所って書いてあるのがどこから出てるかって言うと、上側がAIによるサイバー攻撃、下側が従来のAIを使わない形のサイバー攻撃。これらが見分けがつかないって申してるのがこちらの絵です。加えて言うと、AI攻撃と従来の攻撃が見分けがつかないレベルだったら、AI攻撃同士でもどのAIを使ったかなんか、詳細なんかさらに分かりようがないっていうことで、何のモデルが使われたかは正直、識別は被害側では難しいという話をしております。
ハーネスっていうのはどういうものなんですか？
ハーネスっていうのは、ハーネスの前にその左側のAIモデルのところを見ていきますと、これは皆様、ChatGPTとかで普段お話しされる時、何か言語で何かを聞いて、そしたら言語が返ってくるっていうのが基本的な挙動かと思いますが、それがAIモデルのやってる、トークンを受けてトークンを吐くという挙動にまずなってます。言語を吐くだけだったら、じゃあサイバー攻撃をしたりだとか、場合によっては生成したり、画像生成したりみたいなことは、やっぱり言語だけでは難しい中で、何かコンピューターのプログラムを実行するみたいな能力を持たせる時に、モデルの横に持たせるのがハーネスと呼ばれるもので、ツールとかコード、ソースコードを実行するような能力を持ったものがハーネスです。
AIモデルで指示書を作って、この制御基盤、ハーネスで実行するっていう、今、2段階のステップがあるということ。
そうですね。そうです。それを今、AIを使うユーザーが意識してモデルの出力をハーネスに渡そうってやらなくても、例えばコーディングエージェント、CodexやClaude Codeなどが有名ですけど、そういうものを使えばユーザーからしたら、とりあえず指示を投げておけば勝手にモデルに指示が行って、モデルがトークン、言語を返して、モデルが必要に応じてハーネスを呼んで、ユーザーの望む行動までするというのが、今のAIの動きになってますね。
これ、ガードレールが働くとしたら、そもそもAIモデルがそういったコーディングをさせない、出力が出ないってことですか？
これはどちらもあって、モデル側で防いでる部分とハーネス側で防いでる部分が両方あります。モデル側で防ぐ方は、よくアラインメントと呼ばれる技術が今あるんですけど、モデルがトークンを吐く時に、よく事後学習とか言うんだけど、「こういうことは言ってくれるな」みたいなことがモデルの中に埋め込まれてアラインされていて、あんまりそもそもトークンとして出ないようになってるっていうのが一個。ただ、それだけだったらちょっと保証が弱すぎるので、ハーネス側でブラックリストみたいな感じで、こういうことは絶対にできないようにするみたいなこともできるようになってて、その集合がガードレールと呼ばれるものになりますね。
このGLMに関しては、そのガードレールはあることはあるんだけれども、非常にガードレールでいうところの低いというか。
そういうことになるかと思います。
もう一つお伺いしたいのが、AI側からの攻撃だったり、ハーネスを使った攻撃だったり、人間がやる攻撃だったりっていう、その見分けはつかないとはいえ、例えば簡単に想像すると、AIだったら無限にというか、24時間365日出し続けるみたいな、量の違いはあるんじゃないかなと思ってしまうんですけど、それはそんなことないんですか？
はい。これは従来の攻撃であっても、攻撃者が一個一個、攻撃通信をエンターキーで発射みたいにやるのと比べると、確かに量は違うんですけど、従来であっても攻撃者が自分で攻撃プログラムを作って、ループで攻撃を24時間回し続けるって行動もありましたので、そちらと比較してしまうと、本当に出元がAIなのか、プログラムなのかっていうのが分からなくなってきているということになります。
分からないということですね。
皆さん、こんばんは。緊急ライブ配信でお送りしています。テレ東BIZの緊急ライブ配信です。本日10月22日、世界中のウェブサイトを支える根本的なシステムにおいて、緊急事態が進行しています。皆様が普段使っているようなウェブサイトのおよそ7割を構成するプログラミング言語であるPHPにおいて、深刻度最高レベルの重大な脆弱性が発覚しました。
すでに日本国内でもメガバンクや各企業、そして行政のシステムが次々と、停止だったり一時停止をする事態となっています。本日はこの脆弱性が私たちの生活や企業にどのような影響を与えるのか、今すぐ取るべき対策は何なのかを、サイバーセキュリティの専門家をお招きして徹底解説したいと思います。株式会社AgenticSecの中谷さんです。よろしくお願いします。
よろしくお願いします。
そもそもPHPというのはプログラミング言語。最近だとPythonですとか、Rとか、そういったものがいろいろ有名だと思うんですけれども、結構老舗のプログラミング言語なんですよね。
そうですよね。30年以上前っていうのは今日私も調べて、そんなに前かと思ったんですけれども、やっぱりWebでアプリケーションを作るっていうムーブメントが起き始めた頃に一番流行ってた言語は、確かにPHPだったなと私の方でも思ってます。
今、例えば工学系の学生の方がプログラミング言語を習いたいなと思ったら、Pythonが多いと思うんですけれども、圧倒的に多いですよね。このPHPっていうのはどうなんですか？ 使い勝手がいいとか、7割で使われてる理由はどこら辺にあるんですか？
やっぱり少なくともPythonって、私が学生だった頃なんかは、はるか昔ですけど、マイナーな言語だったんですよ。結構PythonとかよりPHPだったり、Javaだとか、そういう主流の言語を使うことが多かった。JavaじゃなくてPHPをやる人は何でやってたかって言うと、Javaなんかより覚えることがやや少なく書ける。割とやりたいことを素直に書けるみたいな言語がPHPで、プログラマーにとってとっつきやすさみたいなところは、一つの原因だったかと思います。
でも本当に7割っていうのは、結構そんなにあるんだと。
そうですね。7割っていうのは本当に多いなと思って、やっぱりWordPressがかなり効いてるんだろうなと思っているのと、あとWikiですかね。WikipediaもWikiで作られてるんですが、Wikiっていう、これまたCMSの一種みたいなもので考えていいと思うんですけど、WikiなんかもPHPで作られてるものが結構普及しておりまして、その辺が多分効いてるなと思ってます。
中谷さんもこのPHPは使うこともあるんですか？
昔は使ってました。大体のプログラミング言語は一通り書いております。
じゃあ、今回その影響が出た範囲が非常に大きいということで、今、中谷さんのご説明もあったように、WordPressという、ホームページを作る仕組みというか、側の部分、土台みたいな部分が、WordPressを使ってる企業ですとか個人、多いと思うんですけれども。それによって今こちらに出てるように、例えば銀行ですとか航空会社ですとか、ゼンショーホールディングスっていうのは飲食店ですよね。あとは政府、自治体などなど、かなり広範囲に影響が出てるってことなんですよね。
そうですね。これ、停止したっていうのが攻撃を受けたっていうふうには受け取らない方が多分よくて、もちろん攻撃を受けた事案っていうのも、少なくとも一件は私も知ってるんですけど、基本的には企業様自ら「PHPが危ないっていうから、影響範囲を特定できるまでは一時的に自主的に停止する」ってことをやった企業様がまず多いのと、あとは、いわゆるレンタルサーバーサービスとかで企業のページとかを配信してる場合は、レンタルサーバー側の企業が自社の判断でサービス停止して、レンタルサーバーを使ってた人たちのサイトがその影響で閉じられるっていうことがあったんで、攻撃を受けないようにまず止めるっていう判断で、このような停止につながった事例が多いのかと思います。
なるほど。高市総理のホームページまで一時止まって。
そうですね。高市総理自身がXでも「今回のPHPのやつは皆様対応してください」と、高市総理自身のツイートもありましたし、あと、内閣.go.jpでしたっけ、そちらも止めたという発言もなさってまして。これは私、セキュリティのエンジニアとしては非常に英断だったかなと思っていて、やっぱりまずシステムを止めるっていうのは、すごくある種、勇気のいる判断で、特にエンジニアとかは技術的にはもちろん止めることはできるけど、止めていいのかとかの判断っていうのは最終的には経営判断になる。
そんな中で「首相もこんなことを言ってるぞ」っていうのは、経営者にとっては強力な一つの考慮事項になるので、これを首相が発信してくれた意義は私は大きいと思ってるのと、あと日本国内のセキュリティに携わる人だけじゃなくて、海外のセキュリティに携わる人も「日本はプライムミニスターがこんなこと言ってんのか」っていうふうに好意的に発信するようなこともXで見ていて、私はこれはいいツイートだったのかなと認識してます。
これ、先ほど国内の企業をお出ししたんですけれども、結構海外でも話題だったんですよね。さっき頂いたデータがGoogleのデータですかね。
Googleトレンドで、私がこちらに緊急出演する前に自宅で調べたんですけど、日本で確かに私もXを日本語で見てるんで日本で話題に見えるけど、本当に海外じゃ話題じゃないのかなって。一応全ての国ということで、PHP2Shellっていう今回の一連の攻撃の通称で調べたところ、話題にしているのが一番がオランダで、次がオーストラリア、中国、スイス、ベル……。そういった国々で、全然日本だけってこともなく、やっぱり世界で広く皆さん、この危機を察知してるっていう様子が受け取れました。
これだけ広く一瞬でっていうのは、例えばAWSのシステムが止まったりすると、こういうような現象はあると思うんですけど、なかなかこういうサイバー攻撃でここまでっていうのは、あんまり記憶ないんですよ。
そうですね。やっぱりAWSが止まるとかの影響と、またサイバー攻撃のリスクの影響って、全然違うわけですよね。止まるっていうのは、ある種止まるだけだけど、攻撃を受けたらもしかしたらデータが流出しちゃうかもしれない。もしかしたらウェブサイトの改ざんとかまでされるかもしれないっていうふうに、止まるよりも一段高い影響があり得るので、こういう反応は自然なのかなと思います。
ここが問題の一番の核心なんですけれども、じゃあその脆弱性って何なのかっていうところですよね。今回、レポートによると二つの脆弱性が見つかったということなんですけど、少し何か図示できないかなと思って、いろいろ放送前に私の方でも生成AIで適当なものを生成して、これがこれですね。PHP2Shell。これが二つ、上と下ってことですか？
そうですね。二つの脆弱性を合わせてPHP2Shellというふうに通称しているというふうに認識してます。
どういうものなんですか、これは。
そうですね。一個ずつ見ていくと、弱点1の右にCVE-2026、ほにゃほにゃほにゃほにゃって数字が書いてて、弱点2の方にも最後の1桁目だけが8か9かで違う、いわゆるCVE番号っていうのがついてます。これが国際的に通用する脆弱性のIDですよね。「脆弱性はCVE何々だ」って言えば「あのことね」って調べられる、そういうCVE番号が二つ、まずついてます。
このCVE、二つとも基本的には、ものすごく脅威の高い攻撃につなげることができて、RCE、リモートコードエグゼキューションの略なんですけど、日本語ではよく任意コード実行とか言ったりします。要はこれを使うと、PHPで立っているサーバーシステムに、攻撃者がインターネット越しとかに悪い通信を、一回とは限らないんですけど送るだけで、ここのサーバーの制御を乗っ取って、ここのサーバーでできることは基本的に何でもできてしまう。こういうふうなことができるのがこれらの脆弱性だし、RCEという脆弱性になっていて、極めて危険なものになってます。
これ、結構前からあったものが今さら発見されたっていうのは、何なんですか？
まず、そうらしいですね。どうやら30年前から内在していた脆弱性が今回公表されたってことですけど、これ何でかって言うと、この二つとも基本的には、いわゆるメモリ管理ってところに起因するバグです。
メモリっていうのは、コンピューターの中でデータを扱う割と高速な領域ですけど、そのメモリを、プログラミングをしていると、特にC言語とか昔ながらの言語でプログラミングをしてると、メモリを取ってそこに値を書く。使い終わったらメモリを解放する、お掃除するみたいなことをよくやる。こういうメモリを取るとか解放するっていうのはメモリ管理って大ざっぱには言うんですけど、今回メモリ管理系のバグでした。
メモリ管理系のバグって、結構探すのが大変なんですよね、人間にとっては。何でかっていうと、メモリを取りますっていう部分とメモリを解放しますっていう部分が、プログラムのコード上かなり離れてる。全然別のファイルにあることすらあるし、そういうことが多いので、すごくプログラムを大局的に見ないと、メモリ管理系のバグって探しづらいんですよ。
それが昨今、LLM、AIによって、そのソースコードから脆弱性を探す能力っていうのが飛躍的に上がったことで、前提としてPHPはオープンソースなんでソースコードが手に入るんですが、そういうPHPのソースコードからメモリ管理系のバグが見つかったんじゃないかというふうに考えてます。
やはりAIを使ってこれを見つけたと考えるのが一般的に。
そうですね。今、考えると言いましたけど、実際今回の発見経緯、発見したカリフという企業も、そのようにして探したと公表してます。
これ、上と下の違いは何なんでしょう？
これは本当に難しすぎるので、これが分からなくてもあんまり気にしないでいいんですけれども、一個目のやつっていうのは、基本的にPHPのプログラムっていろんなものがあるんですけど、ウェブサーバー、WordPressみたいなウェブサーバーだと思ってください。攻撃者がリクエストを飛ばすんですけど、このリクエストのデータをめちゃめちゃ大きくして、「一個のリクエストとしてはでかすぎるよ」っていうふうに、こっちのPHPのサーバー側に判断させると、普通の小さいものだったらこういうプログラム処理っていうのが決まってるんですけど、でかすぎるデータが来たらエラー処理に飛ぼうっていうのがPHPの処理系内部にあって。その普通の処理をちょっとやった後、エラー処理に飛ぶっていうふうにやると、普通の処理の途中にあったメモリを、メモリを確保するか解放するかの方、どっちか忘れましたけど、そこの部分が中途半端になっちゃって、ちょっとメモリが管理しきれてない、浮いちゃったメモリ状態になる。こういうのがまず一個目なんですけど。
二個目はさらに難しいんですけど、さっき言ったようにウェブサーバーを想定してリクエストを送る。リクエストを2回送ったとします。この2回のリクエストって同じ人から来るとも限らない。1回目は私で、2回目は迂井さんかもしれない。なので、1回1回のリクエストっていうのは、すごく個別に独立に処理されてほしいんですけど、PHPの特定のウェブサーバーの実装だと、そのリクエストを処理する機構、ワーカーっていう機構があるんですけど、そのワーカーを共用して二つのリクエストを処理してるって箇所がありました。
片方のリクエストでさっきみたいにエラーを起こす。ちょっとメモリ多すぎエラーじゃないんですけど、何かエラーを起こす。そうすると2回目のリクエストは、エラー状態のリクエストが使ってたデータを使い回せちゃう。本当は使い回せない方がいいんだけど、ワーカーの方に状態が残っちゃって使い回せちゃうっていうのがあって、どちらもメモリの変な状態を引き起こせるっていうところに帰着するんですけど、その起こし方が上と下でちょっと違うみたいな、そんな感じですね。
なるほど。今どれぐらいの方が分かったかどうかっていうのは、ちょっとある。
私も難しいと思います。
もし質問などありましたら、テレ東BIZのチャット欄にお寄せいただければと思います。今回、いきなりこの脆弱性が見つかったわけではなく、実は8月ぐらいからその可能性があって、この辺の経緯が実はかなり特徴的なんですよね。
実は二件の脆弱性がPHPの開発チームに報告されたのが今年の8月頃だと。さっき中谷さんも言及されていた、最初に報告したセキュリティ企業のカリフの研究者は、それをAIを相棒にして調べたと公表していると。
実はこういうことはよくあることで、これだけ影響力が大きいシステムの脆弱性が発見された時っていうのは、一旦それをすぐに公表するわけではなくて、パッチをまずは作りましょう。パッチというのは修正プログラムみたいなものですよね。そのパッチを公開した後に「実はこういうのがあったんだ」っていうのが一般的だとされている中で、実は今回に限っては、22日に修正するパッチを公開予定だったのが、前日の21日に漏れてしまったと。その漏れた情報を元に、攻撃者がそれを見て先回りして攻撃を始めた、みたいな流れで合ってます？
大筋合ってて、漏れちゃったのはパッチが漏れたというよりは、そのパッチを当てる前のシステムの攻撃方法が漏れたっていうところが正確なところです。
こういうこと、よくあるんですか？
正直、たまによく、たまによくあるっていうのは変ですけど、1年に何度かは見ますね。こういうパターンは割とあります。それはいろんな理由があるんですけど、一つには、その攻撃を見つけたっていうセキュリティ技術者の功名心だったりすることもあるし。
ちょっと自分で言いたいみたいな感じですか？
そうそう。そういうこともありますし、あとは単純に手続き、スケジュールの勘違いで、もう世の中でちゃんと脆弱性の内容、パッチが公開されたと勘違いして、先に攻撃を出しちゃったっていうパターンもあるし、そういうことはあることではあります。
でもこれは、よくあることだとはいえ、影響力が大きいクリティカルなバグだったっていうことと、世界中の7割のウェブサイトが使っている、しかも言語だったってことですよね。
そうですね。PHP。
ここが一番ややこしくて、これまでいろいろ個別にあった、例えばタイムズカーの件ですとかっていうのは、基本的には個別の企業の脆弱性が見つかったってことですけど、そこを支えるというか、土台になっているプログラミング言語自体の脆弱性が見つかるっていうのが結構特徴的ですよね。
そうですね。言語の脆弱性であって、しかも任意コード実行までできるやばさで、かつ先に攻撃がリークしたってことで、これはセキュリティ担当者からしたら悪夢のような事態ですね。
なるほど。分かりました。
はい。
記事公開 · 更新