9月3日、CSO Onlineが「AI agents help compress ransomware intrusion to under 10 hours, raising stakes for CISOs」と題した記事を公開した。AIエージェントの活用によりランサムウェア攻撃の侵入から完了までが10時間以内に収まりつつある——この数字は、SOC（Security Operations Center：セキュリティ監視・対応を担う組織内チーム）が24時間体制を敷いていても、人間主体のトリアージ・調査・封じ込め判断のサイクルが構造的に追いつかない可能性を示している。かつてランサムウェア攻撃の滞留時間（dwell time）は数日〜数週間が標準だった。Mandiant M-Trends 2024レポートをはじめとする複数のインテリジェンスレポートが示すように、近年はその圧縮が急速に進んでおり、AIエージェントの普及がさらなる加速要因となりつつある。
攻撃者がAIで得るのは「新手口」ではなく「速度とスケール」
記事の核心はここだ。執筆者であるRaj Grover氏（セキュリティ戦略・リスクアドバイザリーを専門とするアナリスト）の言葉を借りれば、
「主要なリスクは、AIが突然まったく新しい攻撃手法を生み出すことではない。既存の手法を同時並行で、より低いコスト・低い専門知識で実行できるようにすることだ。」
つまり、攻撃手法そのものは変わらない。変わるのは実行速度・並列性・参入障壁の低さだ。これまでランサムウェアオペレーターには、偵察・初期侵入・横移動・データ窃取・暗号化といった一連のフェーズを手動でこなすスキルと時間が必要だった。AIエージェントはその各フェーズを自動化・加速し、攻撃全体を10時間以内に完結させる水準に押し上げつつある。
「検知・封じ込めが間に合うか」という問いへの答え方
記事が提示する実務的な問いは明快だ。
「攻撃パスが完了するまでの時間」と「自組織が検知・封じ込めにかかる時間」、どちらが短いか？
この差がプラスであれば、脆弱性は「仮説上のリスク」ではなく構造的な欠陥だ。Grover氏はこのギャップを測定する手段として、AIエージェントを用いたレッドチーム演習を推奨している。レッドチームとは、実際の攻撃者の手口を模倣して組織の防御を検証する専門チームを指す。具体的には、現実的な攻撃パスをAIエージェントに実行させ、その完了時間を自組織のMTTD（Mean Time to Detect：平均検知時間）・MTTC（Mean Time to Contain：平均封じ込め時間）と比較する。封じ込めが効く前に攻撃パスが完了するなら、制御の見直しが必要だという判断ができる。
CISOが問うべきは「新脅威かどうか」ではない
記事はボードレベルの経営議論にも言及している。取締役会でよくある問いは「AIを使ったランサムウェアは本当に新たな脅威か？」というものだが、それは問い方が間違っている、と記事は指摘する。
正しい問いは、「既存の統制が、実際の攻撃パスが重要なビジネスシステムに到達する前に止められるか？」だ。
これはCISOにとって、脅威インテリジェンスを「絵に描いた餅」にしないための視点の転換でもある。AIエージェントによって攻撃が高速化・低コスト化された世界では、従来の「深刻度判定→対策検討→予算申請」というサイクルが攻撃速度に追いつかない可能性がある。
「10時間以内」が意味するもの
10時間という数字の重みを理解するには、従来の攻撃タイムラインとの対比が必要だ。前述のとおり、かつてのランサムウェア攻撃は侵入から暗号化完了まで数日〜数週間を要するケースが多く、その間に検知・遮断する猶予があった。それが近年は数時間単位に圧縮されており、AIエージェントの活用がその傾向をさらに加速させている。
SOCが24時間体制を敷いていても、アラートのトリアージ・調査・封じ込め判断に数時間かかるのが現実だ。10時間という攻撃完了時間は、人間主体の対応フローでは構造的に間に合わない可能性を示唆している。自動化された検知・対応（SOAR：Security Orchestration, Automation and Response）の導入や、AIを防御側に活用する取り組みが一層重要になる文脈でもある。
実務的な示唆
記事から読み取れる実務的なポイントは以下に集約される。
- AIエージェントを使ったレッドチーム演習で、自組織の「攻撃完了時間 vs 検知・封じ込め時間」のギャップを定量化する
- 既存統制が「高速化した攻撃パス」を前提に設計されているかを見直す
- CISOがボードに報告する際は「AI脅威の新規性」ではなく「既存統制の有効性」を議題にする
詳細はAI agents help compress ransomware intrusion to under 10 hours, raising stakes for CISOsを参照していただきたい。
