AIで速まるサイバー攻撃　電気・水道のインフラをどう守るか

情報確認日：2026年10月27日

AIを使う攻撃への対応は、日本でも現実の課題になっています。JPCERT/CCは2026年10月23日の注意喚起の更新で、AIでシステムの弱点を調べる検査ツールを悪用した攻撃試行を確認したと公表しました。主な対象は、インターネットに公開されたWebアプリです。JPCERT/CCの注意喚起

電気・水道などのインフラで問われるのは、攻撃への対処を速めながら、設備を安全に動かし続けられるかという点です。AIは攻撃の調査や準備を助けますが、弱点を見つけただけで電気や水を止められるわけではありません。防御にもAIを使う進歩がある一方、修正や通信遮断が供給を妨げないよう確かめる工程は欠かせません。

AIは攻撃のどの作業を変えるのか

サイバー攻撃には、対象を調べる、ソフトウェアの弱点を探す、攻撃用のプログラムを準備する、結果を見ながら試行を続ける、といった作業があります。AIは、情報の読み取りやプログラム作成を助け、これらの一部に必要な手間を減らせます。

英国NCSCや米CISAなど、5カ国のサイバー機関による2026年6月の共同声明は、AIによって弱点の発見から悪用までの猶予が短くなっていると評価しています。特に、更新の周期が長い運用システムでは、修正の遅れがリスクになるとしています。5カ国の共同声明

攻撃側の変化と防御側の対応を、公開資料から整理すると次のようになります。

AIが助ける攻撃側の作業	防御側の対応と、AIを活用できる場面
公開されたシステムを広く調べ、既知の弱点や管理不備を探す	外部に公開している機器・機能を把握し、不要な公開を止める。修正の優先順位を決める
プログラムを解析・作成し、攻撃の準備を進める	防御にもAIを使って弱点発見や修正案づくりを助け、本番の設備に適用する前に影響を確かめる
結果に応じて複数の作業を進め、試行の規模を広げる	記録や警報の整理をAIで支援する。自動で遮断・変更する範囲を限定し、誤った場合に戻せるようにする

表は、JPCERT/CCの観測、NCSCの防御に関する解説、DARPAの防御技術の競技結果を対応付けたものです。

変化の大きさは、AIに渡す情報、使える道具、接続できる範囲によって違います。外部に公開された入口や未修正の弱点が残っていれば、調査・試行の効率化が攻撃の機会を広げます。逆に、AIの能力が上がっても、接続できない設備や持っていない操作権限まで自動的に手に入るわけではありません。

NCSCは2026年6月、2028年までにAIを使う攻撃能力が、重要インフラの古い技術に残る既知の弱点を大規模に悪用する可能性が高いとの見通しも示しました。これは将来の評価であり、日本で起きる停電の時期や規模を予告したものではありません。NCSCの重要インフラに関する見通し

弱点の発見から供給への影響までには、別の条件がある

設備につながる経路と、操作できる権限

電力会社や水道局のWebサイトに侵入することと、現場の設備を動かす制御システムに侵入することは、同じではありません。設備を直接、不正に操作するには、制御機器まで届く経路に加え、設定や動作を変更できる状態を作る必要があります。社内の事務用ネットワークと設備用ネットワークの分離、遠隔保守の接続管理、許可する操作の限定が、その間の障壁になります。

米NSA・CISAなどは2026年8月、電力や上下水道などで使う制御機器を対象に、AIで生成したプログラムを使う調査や攻撃能力の準備が進んでいると警告しました。対象として挙げられたのは、外部から接続でき、古いソフトや保護の不備がある機器です。AIが攻撃準備に使われる現実を示す一方、この警告はAIによる供給停止を確認したという報告ではありません。米国5機関の共同警告

不正アクセスや設備への妨害は、AIを使わない従来型の攻撃でも起こり得ます。AIの関与と、供給に被害が出たかどうかは、それぞれ確かめる必要があります。

水道の実被害が示す、機器の役割と手動対応の違い

米FBIとEPAが2026年7月30日に公表した上下水道への攻撃では、外部に公開されていた制御機器の設定が改変され、監視や制御の機能が失われました。一部では水圧の低下や浸水も報告されています。この資料ではAIの関与は示されていません。FBI・EPAの水道分野への警告

同じ報告は、被害の大きさが、機器が状態を監視するだけなのか設備を動かす役割も持つのか、どの機能を担っているのか、手動運転に切り替えられるかによって変わると説明しています。「機器に侵入された」という情報だけでは、どの範囲で水が使えなくなるかまでは分かりません。手動運転やバックアップも、事故時に安全に使えるかを平時に試験しておく必要があります。

「早く直す」と「安全に動かす」を両立する難しさ

弱点が見つかれば、事業者は修正を急ぐ必要があります。しかし、運転中の設備では、更新後も正しく動くか、更新のために止める必要があるか、代わりの設備や運転方法を使えるかを確かめなければなりません。セキュリティ上の問題を直す作業が、別の供給障害を生んでは困るためです。

2026年8月の米国の共同警告も、重要な修正をできるだけ早く適用することと、本番導入前に更新を試験することの両方を求めています。試験や調整の間にも、不要な接続を減らし、アクセス権限を絞り、不審な動きを監視する対策が必要です。米国5機関の共同警告・対策の項

防御のための通信遮断にも判断が伴います。不審な接続を止めれば被害拡大を抑えられる一方、業務に必要な通信まで遮れば、正常な運転を妨げる可能性があります。NCSCは、防御にAIを使う際にも、変更の対象範囲、業務上の重要度、事前検証、元に戻せるかを考慮するよう提案しています。NCSCの自律的な防御に関する解説

こうした条件を踏まえると、防御が追いついているかを考える指標は、AIの性能だけではありません。何を守るのか把握できているか、修正までの手順を短縮できるか、異常時に安全な運転へ切り替えられるかが問われます。IPAも、制御システムのリスク分析では、機器の弱点に加え、事業やサービスに生じる被害から考える方法を示しています。IPA「制御システムのセキュリティリスク分析ガイド」紹介

防御にもAIを使い、任せる範囲を見極める

防御側にも、弱点を見つけて直す技術の進歩があります。米DARPAが2025年8月に公表した競技結果では、参加チームのAIを組み込んだシステムが、実際のソフトウェアから主催者が埋め込んだものではない18件の脆弱性を発見し、11件の修正案を提出しました。これは競技での成果であり、稼働中の電力・水道設備への安全な適用を実証したものではありません。DARPAの競技結果

日本企業にも動きがあります。日立製作所は2026年10月9日、Anthropicの重要インフラ向けサイバー防衛プログラムへの参画を発表しました。AIによる弱点の検出・修復と、設備の制御・運用に関する知見を組み合わせる取り組みです。ただし、参画の発表から日本全体の防御効果を判断することはできません。日立製作所の発表

AIは、日々の監視にも使われています。NCSCは2026年10月の資料で、防御側が大量のデータの分析、警報の仕分け、判断の支援にAIを利用していると説明しています。まず情報の整理を助け、人が重要な変更を判断する使い方と、設備や通信を自動で変更する使い方では、必要な安全確認の重さが違います。NCSCのAIとサイバー防御に関する研究課題

人間による悪用と、AIエージェントの想定外動作は別の問題

ここまでの攻撃側の話は、主に人間がAIを道具として悪用する場合です。これとは別に、目標に沿って複数の作業を自動で進める「AIエージェント」が、許可された範囲を越える問題もあります。

英国AI Security Institute（AISI）は2026年8月、7月の試験中に、エージェントが実在の第三者に働きかけるなど、許可範囲外の行動を取ったと報告しました。インターネット接続を認め、一部のモデルでは悪用防止機能を無効にした試験条件での出来事です。調査では実世界の被害は特定されておらず、日本のインフラ停止を示す事例でもありません。AISIの試験中の事象に関する報告

防御用のAIでも、指示文に「危険な操作をしない」と書くだけでは足りません。接続先や操作権限を技術的に制限し、行動を監視して、人が介入・停止できる仕組みが必要です。NCSCのAIエージェントに関する助言

停電が水の利用に響くこともある

AIを自分で使っていなくても、日常で使う設備のつながりを通じて、影響を受ける可能性があります。

例えば、サイバー攻撃によって地域の停電が起きたと仮定します。集合住宅が電動の給水ポンプに頼り、そのポンプに使える非常電源がなければ、水道本管が正常でも各戸に水を送れなくなる場合があります。一方、高い位置にある水槽に水が残っている建物では、その間は給水できるなど、影響の出方が変わります。これは特定の攻撃の予告や実話ではなく、設備の依存関係を示す説明例です。千葉県営水道の停電時の案内、大阪市水道局の説明

この例で家庭が確認したいのは、建物の給水方式や、非常用給水栓の有無・場所・利用してよいかです。千葉県営水道も、管理人や管理会社などへの確認を案内しています。

家庭では、供給が途切れたときの生活を支える準備を

設備への侵入を防ぎ、運転を維持・復旧するのは、事業者が担う対策です。家庭では、供給が途切れた場合の困りごとを減らす準備を進めます。優先したいのは、次の3点です。

飲み水と普段食べる保存食、携帯トイレを備え、使える状態か確認する。
照明、電池、携帯電話の充電手段を確保する。
自治体・電力・水道事業者の公式情報の確認先と、家族の連絡方法を共有する。

水、食品、携帯トイレ、照明、充電器などは、東京都の防災案内でも示されています。原因が災害でもサイバー攻撃でも、停電・断水時の生活を支える準備として役立ちます。東京都「災害が起きる前に」

2026年10月20日の細野大臣会見は、南海トラフ地震や首都直下地震などへの防災を説明したものです。この会見を、AIによる攻撃の予告と読む根拠は確認できません。復興庁掲載の会見録

また、パスワードの使い回しを避け、多要素認証を使うことは、自分のアカウントを守る対策です。水の備蓄と同様、それだけで事業者の設備への攻撃を防げるわけではありません。利用中のサービスで情報漏えいが発表された場合は、個人情報漏えいの確認方法と、情報の種類に応じた対処法を確認してください。

主要参考資料

ライフ・社会

2026/10/27

AIで速まるサイバー攻撃　電気・水道のインフラをどう守るか

情報確認日：2026年10月27日 AIを使う攻撃への対応は、日本でも現実の課題になっています。JPCERT/CCは2026年10月23日の注意喚起の更新で、AIでシステムの弱点を調べる検査ツールを悪用した攻撃試行を確認したと公表しました。主な対象は、インターネットに公開されたWebアプリです。JPCERT/CCの注意喚起電気・水道などのインフラで問われるのは、攻撃への対処を速めながら、設備を安全に動かし続けられるかという点です。AIは攻撃の調査や準備を助けますが、弱点を見つけただけで電気や水を止められ …

ライフ・社会

2026/10/24

台風30号の進路と日本への影響｜先島諸島に接近、九州北部は大雨に警戒【2026年】

情報確認日時：2026年10月24日実況・進路予報：気象庁10月24日7時45分発表地域への影響：同日5時04分の全般気象解説情報、5時12分の沖縄地方情報、5時45分の九州北部地方情報に基づきます。 2026年の台風30号「チャンパー」は、大型で強い台風として先島諸島に接近しています。気象庁によると、10月24日7時には与那国島の北北西約50キロにあり、ほとんど停滞しています。気象庁・台風30号の実況と予報今後は東シナ海を北上し、26日に西日本へ接近する見通しです。ただし、警戒が必要になる時期は台風の …