AIの安全はログイン後に始まる——セッション窃取・偽メール判定・限定Cyberが示す三層防御

パスワードを変え、多要素認証も有効にした。それでもAIサービスを不正利用されるとしたら、私たちは何を守り忘れているのでしょうか。

2026年9月初旬、答えにつながる三つのニュースが重なりました。＠ITは、情報窃取マルウェアによってClaudeのログイン済みセッションが悪用され、利用量を不正に消費されたとする事案を報じました。Amazonは、受け取ったメールやSMS、電話が本当に同社から来たものかを、送信記録と照合するAI機能をAlexa for Shoppingへ追加しました。そしてGoogleは、一般向けのGemini 3.8 Flashとは別に、強いサイバー能力を持つGemini 3.8 Flash Cyberを、政府や重要インフラなど信頼できる防御側へ限定して提供します。

一見すると、アカウント侵害、偽メール対策、新モデル発表という別々の話です。しかし三件には共通点があります。安全性の中心が「正しいパスワードを知っているか」から、「認証後の状態を誰が使っているか」「届いた情報を公式記録で証明できるか」「強い能力を誰に、どの条件で渡すか」へ移っていることです。

AIモデル・表示・業務権限をつないだ安全性の三層設計では、モデル更新を業務の停止や救済まで含めて管理する必要性を整理しました。今回はさらに手前へ戻り、端末、ログイン済みセッション、受信メッセージ、モデルへのアクセスを一続きの認証経路として考えます。

パスワードではなく「認証済みの状態」が盗まれます

＠ITが紹介した事案では、攻撃者がClaudeのパスワードや多要素認証のコードを入力したのではありません。利用者の端末へ侵入した情報窃取マルウェアが、ブラウザに保存されたCookieやセッション情報を持ち出し、すでに認証を終えた利用者としてアクセスした可能性が示されています。

ここは重要な区別です。パスワードは本人確認を始めるための鍵ですが、セッションは本人確認を終えた後に発行される通行証です。通行証が有効な間は、サービスが毎回パスワードと多要素認証を求めないからこそ、私たちは快適に使えます。その快適さを攻撃者が引き継ぐと、パスワードを知らなくても利用できる場合があります。

報道の起点は、利用者の体験談と対象者へ送られたとされる通知です。Anthropicが広く公開した告知を基にした事案ではなく、Claude自体の脆弱性が直接悪用されたと示すものでもありません。確認されている中心は利用量の不正消費です。接続先の社内文書や開発環境まで侵害されたと広げて断定するべきではありません。

それでも日本企業にとって軽い話ではありません。業務用AIは、ソースコード、設計書、顧客対応履歴、社内規程、クラウドストレージ、チケット管理へ接続され始めています。盗まれたセッションから見える範囲がチャット履歴だけなのか、社内検索やコード実行まで含むのかで、影響は大きく変わります。

さらに、被害端末へマルウェアが残っているなら、サービス側ですべてログアウトし、パスワードを変更しても、再ログイン後の新しいセッションが再び盗まれる可能性があります。したがって対応順序は「パスワード変更だけ」では終わりません。端末をネットワークから隔離し、感染の有無を調べ、認証基盤とAIサービスの有効セッションを無効化し、安全な端末から認証情報を再発行する必要があります。

AIアカウントは、契約席ではなく業務入口です

企業では、AIアカウントをソフトウェアの一席として棚卸ししがちです。しかしエージェントや外部ツール連携が増えるほど、実態は業務入口に近づきます。アカウントに付いた権限、接続したデータ、実行できる操作、利用上限を一緒に管理しなければなりません。

例えば、同じClaudeやGeminiのアカウントでも、文章の下書きだけを行う利用者と、Gitリポジトリ、社内Wiki、顧客管理システムへ接続する利用者では危険の大きさが違います。全員へ同じ長さのセッションを与え、同じ端末保存を許し、同じ異常検知だけを使う設計では、業務差を吸収できません。

最低限、企業は四つを見えるようにします。どの管理端末から接続しているか、現在有効なセッションはいくつあるか、そのセッションで読める情報は何か、どの外部操作を実行できるかです。これに利用量の急増、通常と異なる時間帯、未知の地域や端末、短時間の反復実行を重ねると、単なる使い過ぎと不正利用を切り分けやすくなります。

AIの価格ではなく完了一件原価を測る記事では、モデル料金に監視、審査、復旧を加える必要性を扱いました。セッション窃取への備えも同じです。利用量の不正消費は請求の問題であると同時に、業務入口が第三者へ渡った可能性を知らせる警報です。予算アラートを経理だけで閉じず、セキュリティ担当へつなぐ必要があります。

Amazonは「文章らしさ」ではなく送信記録と照合します

The Vergeによると、AmazonはAlexa for Shoppingへ、受け取ったメール、SMS、電話が同社からのものかを確かめる機能を追加しました。利用者が受信内容について尋ねると、AIはAmazonが実際に送ったメッセージの記録と比較し、内容、形式、送信者も分析します。

価値があるのは、AIが不自然な日本語や怪しい見た目を推測するだけではない点です。フィッシング文面は、生成AIによって自然になり、正規企業の表現へ近づいています。ロゴ、文体、注文番号らしい文字列だけを見て判定すると、本物らしい偽物に追い付けません。送信元企業が持つ「実際に誰へ、いつ、何を送ったか」という記録へ戻れるなら、見た目ではなく来歴で確認できます。

Amazonは、完全に確信できる場合だけ本物だと確認すると説明しています。本物と判定できない場合には、メッセージ内のリンクを開かず、アプリの注文履歴を確認し、公式サポートへ直接連絡するよう案内します。これはAIに万能な真偽判定を任せる設計ではありません。確かな記録がある範囲だけ肯定し、不確かな範囲では安全な別経路へ戻す設計です。

日本の通販、銀行、宅配、通信、自治体にも応用できる考え方です。ただし、全社共通の「詐欺判定AI」を置くだけでは足りません。各組織が送信台帳を持ち、利用者が公式アプリや公式サイトから照会でき、該当記録がなければ取引や手続きを止められる必要があります。

例えば宅配の再配達SMSなら、文章を採点するより、公式アプリ内の荷物番号と配達イベントへ戻します。銀行の本人確認依頼なら、メールのリンクを使わず、公式アプリ内に同じ依頼が存在するかを確認します。自治体の給付案内なら、対象制度、申請期間、問い合わせ先を公式ドメインの記録へ結びます。AIは判断の窓口になれても、根拠の保管庫を代替できません。

Gemini 3.8 Flash Cyberは能力とアクセスを分けました

Googleが発表したGemini 3.8 Flashは、複雑な課題で推論の段階を増やし、ツールを反復して呼び出すモデルです。入力100万トークン当たり0.75ドル、出力100万トークン当たり3.75ドルという導入価格は3.7 Flashと同じですが、高いeffort設定では一件当たりの出力トークンや反復回数が増える場合があります。同じ単価でも、より長く考えれば総額が増える点は分けて見る必要があります。

同時に発表されたGemini 3.8 Flash Cyberは、同じようには配られません。ITmedia AI＋とThe Vergeによると、政府機関、国家のサイバー当局、医療、通信、エネルギー、金融などの重要インフラ、中核的な技術組織を対象とするFairwind Programを通じ、信頼できる防御側へ段階的に提供されます。参加組織は、利用チームの限定や多要素認証などの運用条件に同意します。

限定する理由は、強いサイバー能力が防御にも攻撃にも使えるからです。一般版にはサイバー攻撃やCBRN領域の悪用対策が組み込まれます。一方、Cyber版は防御側が包括的な調査と修正を行えるよう、サイバー領域の制約を調整しています。能力差だけでなく、誰に渡すか、何へ使うか、どの保護策を条件にするかまでが製品設計の一部になっています。

Googleは、Chromeのセキュリティチームで有効なパッチ生成数が比較対象の大規模商用モデルより2.6倍多かったことや、Google Cloudの調査チームが重大な基盤的脆弱性を2時間以内に発見した例を紹介しています。これらはGoogle社内の公表例であり、あらゆる日本企業で同じ成果になる保証ではありません。対象コード、検証環境、既存テスト、人の審査、展開方法が異なるからです。

日本企業が学ぶべきなのは、数値をそのまま期待値にすることではありません。強いAIへアクセスできる人を少なくし、調査環境と本番環境を分け、生成したパッチをテストし、人が承認し、問題があれば戻せる一連の条件です。「高性能モデルを導入した」ではなく、「どのチームが、どの環境で、どこまで実行できるか」を契約と技術の両方で固定します。

三つのニュースを「証明・通行証・能力」の三層で読みます

日本企業の実装へ落とすため、守る対象を三層へ分けます。

層	今回のニュース	守る対象	失敗時の代表例	最小の対策
証明	Amazonのメッセージ照合	情報の送信元と来歴	偽メールを本物と信じる	公式送信台帳、アプリ内照会、安全な別経路
通行証	Claudeのセッション悪用	認証後の状態と端末	パスワードなしでAIを使われる	端末隔離、全セッション無効化、短命化、利用量監視
能力	Gemini 3.8 Flash Cyber	強いモデルと実行権限	防御能力が攻撃や無許可変更へ転用される	対象組織・チーム限定、検証環境、人の承認、監査ログ

三層は独立していません。正規の通知に見える偽メールからマルウェアを入れられれば、端末のセッションが盗まれます。盗まれたセッションが強いモデルや外部ツールへ接続できれば、影響が大きくなります。逆に、送信記録で偽装を止め、端末とセッションを分け、強い能力を限定すれば、一つの失敗が全体へ広がりにくくなります。

従来の研修では「怪しいリンクを開かない」「パスワードを使い回さない」が中心でした。もちろん今も大切です。しかし自然な文章を作れる攻撃者と、認証済み状態を盗むマルウェアと、外部操作まで行うAIエージェントが重なる時代には、利用者の注意だけへ依存できません。公式記録へ戻る仕組み、端末を管理する仕組み、能力を狭く渡す仕組みをサービス側と企業側が用意します。

日本企業が30日で始める実装

最初の一週間——AIの入口を一覧にします

社内で利用する対話AI、コーディング支援、議事録、社内検索、ブラウザ操作エージェントを一枚へ並べます。各サービスについて、ログイン方式、有効セッションを確認できる画面、接続端末、データ連携、外部ツール、利用上限、全ログアウト手順を書きます。

特に個人アカウントと会社アカウントが同じブラウザプロファイルへ混在していないかを確認します。管理外端末、共有端末、私物ブラウザ拡張は、セッションを守る境界を曖昧にします。業務用プロファイルと個人用を分け、重要なAIは管理端末だけから使う方針を決めます。

次の一週間——侵害を想定して通行証を止めます

一人の端末が情報窃取マルウェアへ感染した想定で訓練します。端末隔離、認証基盤のセッション無効化、各AIサービスの全ログアウト、APIキーと外部連携の失効、請求と利用履歴の保全、安全な端末からの再発行までを通します。

訓練では、パスワード変更を完了地点にしません。マルウェアが残った端末へ再ログインしないこと、失効後に古いセッションが使えないこと、新しいセッションの発行先を管理できることまで確認します。復旧時間と見落とした接続先を記録します。

三週目——重要な通知を公式記録へ戻します

経理、人事、顧客対応、通販、配送など、メールやSMSのリンクから手続きしやすい業務を選びます。請求書変更、口座変更、パスワード再設定、ワンタイムコード、配送先変更を、公式システム内の記録から照会できるようにします。

AIによる文面判定は補助にします。本物だと断言できる条件、判定できないときの案内、公式アプリや既知の電話番号へ戻る手順を決めます。「怪しいかもしれません」で終わらず、安全な次の一歩を提示します。

四週目——能力へ有効期限と停止線を付けます

コード実行、パッチ生成、クラウド変更、顧客データ検索など影響の大きい能力は、常時の広い権限ではなく、業務、時間、対象環境を限定して渡します。検証環境での生成と本番反映を分け、別の人の承認、テスト結果、変更履歴、ロールバック方法を必須にします。

最後に、利用量の急増、未知の端末、通常外の時間、権限の連続利用を一つの警報へまとめます。請求異常を経理だけ、端末異常を情報システムだけ、モデル異常を開発部門だけで見ると、セッションを使った横断的な異常を見失います。

調達時に尋ねる十の質問

1. 管理者は全利用者の有効セッションと接続端末を確認できますか。
2. 一人または全社のセッションを即時に無効化できますか。
3. パスワード変更時に既存セッションはどう扱われますか。
4. 外部ツールへ渡したトークンとAPIキーを個別に失効できますか。
5. 利用量、実行回数、接続地域、端末の異常を通知できますか。
6. 受信した通知を、サービス側の公式送信記録と照合できますか。
7. AIが本物と断言できないとき、安全な公式経路へ案内しますか。
8. 強いモデル能力は利用者、チーム、目的、環境ごとに制限できますか。
9. 生成した変更を検証し、人が承認し、元へ戻す証跡を残せますか。
10. 端末侵害を想定した隔離、失効、再発行、復旧の手順がありますか。

十問のうち、モデルのベンチマークを尋ねるものは一つもありません。性能が不要だからではなく、性能を安全に使える条件が整って初めて、ベンチマークの価値を業務へ移せるからです。

主な出典

• ＠IT「パスワードも2FAも盗まない――攻撃者が狙った『Claudeのログイン済みセッション』の正体」
• The Verge「Amazon’s AI assistant can now spot fake emails from the company」
• ITmedia AI＋「Google、『Gemini 3.8 Flash』公開　価格据え置きで防御特化の『Cyber』も」
• The Verge「Google says its new Gemini 3.8 Flash model ‘works harder’ but might cost more」

結論——AIを守るとは、ログイン画面だけでなく認証後の経路を守ることです

今回の三件は、AIセキュリティの重心が移ったことを示しています。Claudeの事案では認証済みセッションが価値を持ち、Amazonの機能では文章の見た目より公式送信記録が根拠になり、Gemini 3.8 Flash Cyberでは強い能力へ到達できる組織と運用条件そのものが安全策になりました。

日本企業が次に増やすべきなのは、注意喚起のポスターだけではありません。公式記録へ戻れる受信経路、侵害時にまとめて止められるセッション、目的と時間を限定した能力、そして端末隔離から業務復旧までを実際に通した訓練です。利用者へ「気を付けて」と頼む前に、間違えても広がりにくく、止めても戻せる仕組みを作ります。

次にAIサービスの管理画面を開いたとき、モデル名や月額料金の隣で「今、誰のどの端末に有効な通行証が残っていますか」と尋ねてみてはどうでしょうか。その問いへ数分で答え、不要な通行証を止められる状態こそ、AIを便利な道具から持続可能な業務基盤へ変える第一歩です。