セキュリティがソフトウェアファクトリーの導入を加速する

Thu, 15 Oct 2026 10:00:00 +0900

「AIには休息が必要なく、睡眠もとらず、祝日も休暇もない。」 – パク・ムンボム、78ResearchLab CPO（韓国語原文からの翻訳）¹

チョン・ドヒョン - ROBOCO首席コンサルタント

2026年9月30日、新韓銀行（Shinhan Bank）が顧客情報の流出を韓国の金融当局に報告しました。2週間後の10月14日、金融当局が集計した被害範囲は、銀行・貯蓄銀行・キャピタル会社・暗号資産事業者を含む16社、約10万件に広がっていました。² 同じ月の6日には、汝矣島純福音教会とサラン教会が、ハッキングによって信徒の情報が流出した形跡があると明らかにしました。³ それに先立つ9月3日には、政府の調査団が動画配信サービスのTVING（ティービング）で約3,954万件のアカウントが流出したと発表しています。⁴

今回の金融業界の事故には、AIが使われたという話がついて回っています。しかし2026年10月15日時点で、これは 確定した事実ではありません。 金融当局はAIの使用有無をまだ調査しています。² 確認されているのは、複数のセキュリティ企業が攻撃インフラからLLMベースの自動侵入ツールの痕跡を報告した、というところまでです。⁵ それでも私は、この状況を軽く見過ごすことはできないと考えています。攻撃側がすでにエージェントで仕事を始めているのなら、防御側が人間の速度で動く体制は長くはもたないからです。

この記事の主張は一つです。私は、セキュリティの圧力がソフトウェアファクトリーの導入を早めると考えています。 攻撃は速くなっています。AIで脆弱性を見つける企業は、今や修正能力をボトルネックとして指摘しています。規制は修正期限を短くしています。これらの圧力は、発見から修正・デプロイまで人がボトルネックにならない開発体制、つまりソフトウェアファクトリーの方向を指していると私は考えます。ただし、これは「人なしで動く工場」を意味しません。人がルールを決め、機械はそのルールの中で休まず実行します。

TL;DR

最近の韓国国内の事故で、調査によって確認された原因や複数のメディアが報じた原因は、新しい攻撃手法ではありませんでした。ソースコードに残ったアクセスキー、迂回された認証手続き、適用されていないセキュリティパッチのように、基本的な統制が欠けていた箇所でした。
AIが変えるのは、攻撃の種類よりも速度と規模です。攻撃者が基本統制の隙間を見つける速度が上がれば、隙間を発見して塞ぐまでにかかる時間が防御の中核指標になります。
圧力はすでに動いています。AIが脆弱性を見つける速度に修正が追いつかず、米国・EU・韓国の規制は修正期限を短くしたり、迅速なパッチ適用の障壁を下げたりしており、修正まで行うAIツールも登場しています。ただし導入はまだ初期段階で、自動修正への信頼も障壁の一つに挙げられています。
私は、ソフトウェアファクトリーがその時間を短縮する有力な体制だと考えています。発見された問題をタスクにし、エージェントが修正し、証拠で検証し、失敗をルールに変えます。
ただし、ファクトリー自体が新たな攻撃面になります。リスク等級、書き込み権限の分離、人による停止コマンドといった仕組みなしに作られたファクトリーは、セキュリティを高めるどころか脅威を増やします。

1. 韓国で何が起きているのか

下の表は、2026年10月15日までに公表された主な事故をまとめたものです。政府の調査や被害機関が明らかにした原因と、報道機関やセキュリティ企業が報道・主張した原因を区別して記載しました。

事故	公表	規模	原因と調査状況
金融業界の連鎖流出	2026-09-30 初報告	16社、約10万件（10-14時点）²	当局が調査中。新韓銀行では、ローン募集人向けの別の照会サービスで認証手続きが迂回されたという報道が、複数のメディアで一致している⁶
TVING	2026-06-03	約3,954万件のアカウント⁴	政府調査の結果：開発者のアクセスキーが窃取された後にソースコードが流出し、ソースコードに含まれていた本番環境のアクセスキー43個で侵入された。2024年のペネトレーションテストで見つかった脆弱性が修正されていなかった⁴
Coupang（クーパン）	2025-11（調査結果 2026-02-10）	3,367万3,817件⁷	政府調査の結果：元従業員がソースコードにハードコードされた署名キーを悪用した。退職後もキーが変更されていなかった⁷
汝矣島純福音教会・サラン教会	2026-10-06	教会発表で約85万人分（汝矣島純福音教会）³	公式な原因は未発表。セキュリティ企業はWebシェルと乗っ取られたアカウントを原因とみている³

統計も同じ方向を指しています。科学技術情報通信部とKISA（韓国インターネット振興院）によると、2026年上半期の侵害事故の届け出は1,236件で前年より19.5%増え、そのうちランサムウェアの届け出は76.8%増えました。⁸

AIが関与したという主張はどこまで確認されたのか

ここでは事実と推測を分けて見る必要があります。

セキュリティ企業の分析（複数）： Genians、Oasis Security、S2Wは、攻撃に使われたと推定されるサーバーから、中国語ベースの自律型ペネトレーションテストツールARTEXの痕跡を報告しました。S2WはARTEXとAIモデルをつなぐ中継プログラムも発見したと明らかにしました。ただしS2Wは、データ窃取のどの部分をAIが実行したのかは当局が調査すべきだとしています。⁵
CrowdStrike（中程度の確信度）： Reutersの報道によると、CrowdStrikeは攻撃者がARTEXとAnthropicのClaude Codeを使ったと主張しました。この評価は「中程度の確信度（moderate confidence）」によるもので、特定の攻撃グループへの帰属は行っていないと自ら明らかにしています。⁹
政府： 金融委員会の10月2日の報道資料は、事故を「サイバー攻撃」と「侵害の試み」としか記述していません。10月14日の時点でも、当局はAIによるハッキングかどうかを調査中でした。²

まとめると、「LLMベースの攻撃自動化ツールの痕跡が攻撃インフラで見つかった」というのは複数の企業が報告した内容です。「AIがこの攻撃を実行した」というのは、まだ確認されていません。

海外にはより明確な記録があります。Anthropicは2025年11月、中国の国家が背後にいると判断したグループがClaude Codeを自律型の侵入エージェントとして構成して約30の組織を狙い、戦術的な作業の80〜90%をAIが実行したと報告しました。この数値はAnthropic自身の分析です。¹⁰

2. 変わったのは攻撃の種類ではなく速度だ

78ResearchLabのCPOでセキュリティ専門家のパク・ムンボム氏は、今回の事故についてこう書いています（以下の引用は韓国語原文からの翻訳）。この攻撃は「既存の攻撃手法にAIという『ターボエンジン』を付けて効率と規模を最大化したもの」であり、現場の専門家が感じている危機感の正体は、防御のパラダイムが時間をかけて崩れたのではなく「一瞬で崩れた」ことにある、と。¹

彼が挙げた例は印象的です。かつては中国の春節や中秋節になると、中国発のサイバー攻撃が目に見えて減りました。人間の攻撃者には休みの日があり、その間に防御側は分析し対応する時間を稼げました。AIにはそのような日がありません。