英国国家サイバーセキュリティセンター(NCSC)は火曜日、英国の重要国家インフラが2028年までにAIを活用したマルウェアによるランサムウェア攻撃に備えるべきだと警告した。

重要国家インフラとは、エネルギー、水道、交通、医療などを含む、機能停止や障害が国に重大な影響を与える不可欠なシステムおよびサービスを指す。

同機関は2026年年次レビューであるState of the Cyber Nation報告書の中で、敵対的アクターによる人工知能の利用が、今後2年以内にランサムウェア、ソーシャルエンジニアリング、ソフトウェア脆弱性の悪用などを含む攻撃活動の規模と効率を拡大する可能性が「極めて高い」と述べた。英国の通信情報機関GCHQの一部であるNCSCは、英国は「選択の瞬間に直面しており」「サイバーレジリエンスの未来は決まっていない」と述べた。報告書の全文はNCSCのウェブサイトで公開されている。

同機関はXへの投稿でレビューの公表を告知した:

Today, we've published our 2026 annual review: The State of the Cyber Nation. The UK faces a moment of choice. The future of cyber resilience is not set. Read the report now: @GCHQ @DanJarvisMBE pic.twitter.com/mIFWrBB5Yt
— NCSC UK (@NCSC) November 3, 2026

脅威は新たな攻撃手法よりも、むしろ昔からの弱点に起因するものであると、報告書の発表に合わせた講演の準備原稿の中でNCSCのリチャード・ホーン最高経営責任者は述べた。

「今後数か月で、サイバーインシデントの数がかつてない規模で増加する現実的な見通しに直面します」とホーン氏は述べ、「しかし明確にしておくべきは、AIが新たな攻撃手段を生み出したためではないということです。長年にわたり容認されてきた脆弱性が、かつて想像もできなかった規模で発見され悪用可能になったためです」。

「何十年もの間、私たちは安上がりな技術運用で済ませてきました」と氏は付け加えた。

ホーン氏は、組織に対し技術への適切な投資、不必要なシステムのインターネット接続の停止、そして政府のCyber Essentials認証をセキュリティの最終目標ではなく出発点と捉えることを促した。行動しないリーダーは、なぜ「店頭に食品がなく、電気が止まり、事業が倒産したのか」を投資家、従業員、顧客に説明しなければならなくなる可能性があると警告した。

この警告は数日前、政府が国家規模のサイバーシールドの第一期に6,000万ポンド(約8,000万ドル)、重要インフラ全体の弱点を特定する新たなNational Exposure and Real-Time Vulnerability Centreに7,000万ポンド(9,300万ドル)を拠出すると発表した直後に出された。NCSCが運営する新たなAI Cyber Security Centre of Excellenceはマンチェスターに設置される。両者の時間軸は現在並行して進んでおり、新センターとサイバーシールド全体がどの程度速く形になっていくか、またCyber Essentialsのような対策が組織にどれだけ浸透するかが、NCSCが描く2028年の期限が近づく中での目に見える指標の一つとなるだろう。

AIとサイバー攻撃

この警告は、攻撃者がすでにAIを実務に活用しつつあるという証拠の増加に続くもの。5月、Googleの脅威インテリジェンスグループは、サイバー犯罪者がAIモデルを利用して、それまで未知だった脆弱性(ゼロデイ)を発見し悪用することで、広く使われているオープンソース管理ツールの二要素認証を回避できたと発表した。同社はこれが、実環境でのAI支援によるゼロデイ開発を確認した初の事例だとしている。

しかし同じ月に公表されたケンブリッジ大学による9万件を超えるサイバー犯罪フォーラムのスレッド分析では、ほとんどの犯罪者が高度な攻撃ではなくスパムやフィッシングにAIを利用していたことが判明した。

英国の当局者は以前から人工知能がもたらすリスクについて警鐘を鳴らしてきた。7月にはイヴェット・クーパー外務大臣が、最前線のAIシステムが戦争、犯罪、社会を変革する前に、政府間でAIの安全対策について合意する必要があると警告した。

「行動を起こす前に、AI版の広島を待つ余裕はありません」と氏は書いた。