AIモデルの88%がマルチターン攻撃に突破される

AIモデルへの攻撃手法として「マルチターン攻撃」が深刻な脅威となっている。シスコのAI脅威インテリジェンス・セキュリティ研究責任者であるエイミー・チャン氏が2026年のVB Transform conference（エージェント型AIセキュリティに関するパネル）で発表した研究によると、複数回のやり取りを通じて会話を操作するマルチターン攻撃は、最大88.3%の確率でAIモデルのガードを突破できることが確認された。15種類の主要なAIモデルを対象に6,986件の攻撃を試みた結果として得られた数値であり、モデルによって突破率は7.89%から88.3%まで幅があったが、すべてのモデルで無視できないリスクが確認されている。

マルチターン攻撃とは、一度の悪意ある質問（シングルターン）ではなく、複数回の会話を重ねる中でAIを誘導し、本来なら出力されないはずの有害な情報や不適切な行動を引き出す手法だ。チャン氏は「私たちが実際にAIモデルやエージェント、アプリケーションと関わる方法に近い」と説明しており、現実の攻撃シナリオをより正確に反映しているという見方ができる。これに対してシングルターンのみのテストでは、会話の積み重ねによる脆弱性を検出できず、モデルの安全性を過大評価するリスクがある。実際に、2つのテスト手法ではモデルのリスク順位さえ一致しなかったことも判明した。

チャン氏とニコラス・コンリー氏が共同執筆したこの研究は、30,090件のシングルターンプロンプトと6,986件のマルチターン攻撃を組み合わせた大規模な評価に基づいている。シスコは現在、105種類のAIモデルを対象とした評価結果を「LLMセキュリティリーダーボード」として公開しており、モデルごとの攻撃耐性を継続的に測定している。また同社は、AIエージェントが自律的に攻撃シナリオを生成・評価するフレームワークの開発も進めているとチャン氏は述べた。

エンタープライズ（企業）側のセキュリティ対策の現状も明らかになっている。VentureBeatが2026年6月に企業担当者107人を対象に実施した調査では、54%がエージェント関連のセキュリティインシデントを経験または未然に防いでいた。一方で、エージェントごとに専用の管理された権限（スコープ付きID）を付与している企業は32%にとどまり、リスクの高いエージェントをサンドボックス（隔離された安全な実行環境）で分離している企業は30%にすぎない。82%の企業がクラウドサービス提供事業者の標準機能をセキュリティの主な手段としており、追加的な防御層がまだ十分に整備されていない実態が浮かび上がる。

こうした状況を受け、大手セキュリティ企業による買収が相次いでいる。パロアルトネットワークスは2026年2月にサイバーアークを250億ドルで買収を完了し、クラウドストライクは同年1月にSGNLを7億4,000万ドルで買収することに合意した。シスコは報道によれば4億ドル規模でAstrix Securityの買収を発表している。いずれもAIシステムにおける「誰が・何を」アクセスできるかを管理するIDおよび隔離の仕組みを強化する目的であり、多くの企業がまだ構築中のセキュリティ層を埋めようとする動きと位置づけられる。

チャン氏はサイバーセキュリティ業務、政府機関、軍にわたる約20年の経験を持ち、JPモルガン・チェースでサイバー脅威インテリジェンスチームを率いたほか、米国下院外交委員会の上級スタッフや海軍予備役将校を務めた経歴がある。現在はミドルベリー国際大学院でサイバーセキュリティと新興脅威を教えている。

今回の発表が示すのは、AIエージェントのセキュリティ評価においてシングルターンのみのテストが標準となっている企業にとって、見えていないリスクが存在するという点だ。AIが単発の質問に答えるツールから、自律的に複数のタスクをこなす「エージェント」へと進化するにつれて、攻撃者も会話の流れを利用した手口に移行しつつあるという見方ができる。今後は、エージェント型AIを運用するあらゆる組織にとって、マルチターン攻撃への対応と権限管理の強化が優先課題になると考えられる。