- AIが自動生成したSQLインジェクション攻撃の89%が、定番WAF「ModSecurity」の検知をすり抜けた
- 出典は米ノースカロライナ大学シャーロット校の研究。GPT-4oで514個の攻撃パターンを作った実験
- AWS WAFでも41%が通過。XSSという別の攻撃では80%がModSecurityを突破した
- 1組織あたりのAPI攻撃は1日121件から258件へ、1年で113%増えた（アカマイ調べ）
- 対策の軸は「従来ルール＋仮想パッチ＋AI型検知」の3層と、ボット対策を重ねた多層防御
「うちはWAFを入れているから大丈夫」。そう聞いて安心したことはありませんか。2026年8月3日、その安心が揺らぐ数字が報じられました。AIが作った攻撃の89%が、防御をすり抜けたという実験結果です。何が起きていて、どう備えればいいのかを整理します。
89%すり抜けた実験は何をしたのか
報じたのはITmedia NEWSです。2026年8月3日の記事で、筆者はアカマイ・テクノロジーズの中西一博氏。
タイトルにある「89%」は、AIが作った攻撃がWAFの検知を通り抜けた割合です。
WAF（Webアプリケーションファイアウォール）は、サイトの入り口に立つ警備員のような仕組みです。あやしいパターンの通信を見つけて止めます。
数字の出どころは大学の研究
この89%は、米ノースカロライナ大学シャーロット校の研究に由来します。
Vahid Babaey氏とArun Ravindran氏による「GenSQLi」という論文です。学術誌Future Internetに2025年1月に掲載されました。
2人はGPT-4oに、SQLインジェクション（データベースに不正な命令を送り込む古典的な攻撃）のパターンを作らせています。
できあがったのは514個。うち92.5%が、実際のMySQLデータベースで動く「本物」でした。
有名なWAFが次々と抜かれた
問題は、その514個をWAFにぶつけた結果です。
オープンソースの定番であるModSecurityでは、89%が検知をすり抜けました。しかも最新のOWASPコアルールセット（世界標準の検知ルール集）を入れた状態でです。
クラウド大手のAWS WAFでも、41%が通過しています。
同じ研究チームはXSS（サイトに悪意のあるスクリプトを埋め込む攻撃）でも実験しました。こちらは80%がModSecurityを突破しています。
ちなみに、使うAIによって成績は変わります。Gemini-Proで作った場合、ModSecurityの突破率は56.6%でした。
なぜAIの攻撃は休みなく続くのか
「言い換え」を無限に作れる
WAFの多くは、危険な文字の並びを覚えて止めます。指名手配写真と照合するようなやり方です。
そこで攻撃者は難読化という手を使います。命令の意味は変えずに、見た目だけを変える技術です。
大文字と小文字を混ぜる。コメント記号を挟む。文字コードを変える。人間が手作業で考えるなら、数十通りが限界でしょう。
AIはこの言い換えを、何万通りも数分で作ります。しかも弾かれた結果を見て学び、次の案を出してきます。
攻撃の速さが人間の対応を追い越した
深夜2時、通販サイトを運営する会社を想像してみてください。
担当者は寝ています。その間もAIは、1秒間に何十通りものパターンを試し続けます。朝までに数十万回です。
1つでも通れば、そこが穴になります。
中西氏も、最新のAIが未知の脆弱性を「桁違い」の精度で見つけ、攻撃コードを「わずか数分」で書けると指摘しています。
アカマイは、攻撃側のAIが作ったとみられる難読化された通信を、すでに実際に観測しているとしています。
数字で見る2026年のWeb攻撃
攻撃が増えている実感は、統計にも表れています。
アカマイの「2026年 インターネットの現状（SOTI）」レポートによると、2025年に87%の組織がAPI関連のセキュリティ事故を経験しました。
APIは、アプリ同士がデータをやりとりする窓口です。スマホアプリもAIサービスも、この窓口を通って動いています。
1組織あたりのAPIへの攻撃は、1日平均121件から258件に増えました。1年で113%増、つまり倍以上です。
回線をあふれさせるL7 DDoS攻撃も、2年で104%増えています。
さらにセキュリティ担当者の42%が、「AIアプリやAIエージェントを支えるAPIが狙われた」と答えました。守る対象そのものが増えているのです。
ルール型WAFは本当に無力なのか
ここで、冷静になる材料も紹介します。
2026年5月に公開された別の研究（Ali Karakoc氏らの論文）は、ほぼ逆の結果を出しました。
この研究では24万個の攻撃パターンを作り、220万回のテストを実施しています。対象は10種類のWAFです。
結果は、WAFの種類でくっきり分かれました。
- AI・機械学習型WAF：最大92.49%が突破された
- ルールベース型（ModSecurity・Coraza）：突破は0〜5.70%にとどまった
- 手法全体で見た平均突破率は22.73%
同じルールベースWAFでも、実験の設計や製品のバージョン、使ったAIの世代で結果は大きく動きます。
読み取るべきは「89%だからもう終わり」ではありません。単一の防御に頼ると、条件次第で一気に崩れるという事実です。
守り方は「3つの壁」で考える
ITmediaの記事は、WAFに3段階の検知を持たせることを勧めています。
第1から第3の壁
第1の壁は、専門家が作る従来型のルールです。既知の攻撃は、ここでほとんど止まります。
第2の壁が仮想パッチです。ソフトの修正が間に合わないとき、WAF側で急ごしらえの通せんぼをします。
ゼロデイ（修正プログラムがまだ存在しない脆弱性）が公表された朝を思い浮かべてください。
修正版を当てるには動作検証が要ります。社内の承認も必要です。数日かかることも珍しくありません。その空白を埋めるのが仮想パッチです。
第3の壁が、AI搭載WAFです。攻撃の特徴を自動で見つけ、検知ルールをその場で作ります。取りこぼしを拾うセーフティーネットの役割です。
壁の外側も固める
WAFだけで守り切るという発想は、そろそろ卒業どきです。
記事が挙げるのは、ボット対策システムとIPレピュテーション（過去の攻撃履歴から接続元の危険度を判定する仕組み）です。
これらをWAFやAPI保護と束ねた考え方がWAAP（WebアプリとAPIをまとめて守る仕組み）と呼ばれます。
中西氏は、メキシコ政府やブラジルの金融機関を狙った攻撃の分析にも触れています。堅牢な基盤を整えていた環境では、侵入は失敗していたそうです。
攻撃は何段階もの手順を踏みます。どこか1カ所で断ち切れれば、被害までは届きません。
日本の企業にとって何が変わるか
この話は、日本でも他人事ではありません。
IPA（情報処理推進機構）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」を見てみます。
「AIの利用をめぐるサイバーリスク」が初めて選出され、いきなり3位に入りました。約250名の専門家による投票の結果です。
1位はランサム攻撃、2位はサプライチェーンや委託先を狙った攻撃でした。この2つは4年連続で同じ顔ぶれです。
国内のWAF市場も動いています。クラウド型WAF「攻撃遮断くん」は2万サイト以上に導入されています。ほかに「SiteGuard」や「Cloudbric WAF+」といった選択肢もあります。
価格の目安として、Cloudbric WAF+は初期費用68,000円から、月額28,000円からとされています。中小企業でも手が届く水準です。
従業員30人の製造業で、情シスの担当者が1人という会社は珍しくありません。
その1人が、日々の問い合わせ対応をしながらゼロデイの検証まで担うのは現実的ではないでしょう。だからこそ、仮想パッチや監視まで含めたマネージド型のサービスを選ぶ判断が効いてきます。
よくある質問（FAQ）
Q1. 89%と聞きましたが、自社のWAFも同じように破られますか？
A. そのまま当てはめるのは早計です。実験は特定のバージョンと設定で行われました。別の研究では、同じ種類のWAFで突破率が5.70%以下でした。まずは自社の設定と検知ログを確認するのが先です。
Q2. 無料のModSecurityは、もう使わない方がいいのでしょうか？
A. そうとは言い切れません。既知の攻撃を止める効果は今もあります。問題は「これ一枚で足りる」と考えることです。仮想パッチやボット対策と組み合わせる前提で使いましょう。
Q3. WAFを最新にしておけば安心ですか？
A. WAFは入り口の警備員であって、建物の鍵ではありません。SQLインジェクションはプリペアドステートメント（命令とデータを分けて扱う書き方）でアプリ側から根本的に防げます。両輪で考えるのが基本です。
Q4. 中小企業はまず何から手をつけるべきですか？
A. 公開しているサイトとAPIの一覧を作ることをおすすめします。守る対象が分からなければ、どんな製品も選べません。放置された古いテスト用サイトが狙われる例もあります。
Q5. 攻撃されているかどうかは、どうすれば分かりますか？
A. WAFの検知ログとアクセスログを見ます。同じIPから短時間に大量の失敗が並ぶ、URLに見慣れない記号が混じる、といった兆候が手がかりです。
まとめ
- AIが作ったSQLインジェクションの89%がModSecurityを、41%がAWS WAFをすり抜けた（GenSQLi研究）
- XSSでも80%がModSecurityを突破。AIの違いで突破率は56.6%まで変動する
- 別の2026年5月の研究ではルールベースWAFの突破率が0〜5.70%。条件で結果は大きく変わる
- API攻撃は1日121件から258件へ1年で113%増。87%の組織が事故を経験した
- 対策は「従来ルール＋仮想パッチ＋AI型検知」の3層と、ボット対策やIPレピュテーションによる多層防御
- IPAの10大脅威2026では「AIの利用をめぐるサイバーリスク」が初選出で3位
まずは自社サイトのWAF検知ログを開き、この1カ月でどんな攻撃が届いていたかを確認するところから始めてみてください。
参考文献
- ITmedia NEWS「WAFを89％すり抜ける事例も──AIが休みなく仕掛けるWeb攻撃、予防策はあるか」（2026年8月3日）
- Babaey, V.; Ravindran, A. 「GenSQLi」Future Internet, 17(1), 8（2025年）
- GenXSS: an AI-Driven Framework for Automated Detection of XSS Attacks in WAFs（arXiv）
- Adversarial SQL Injection Generation with LLM-Based Architectures（arXiv、2026年5月）
- Akamai「2026 State of the Internet: Apps, APIs, and DDoS」
- IPA「情報セキュリティ10大脅威 2026」
こんな時代だから遊んで学びたい
AIを学ぶオンラインサロン「AIフレンズ」では、生成AIを楽しく、どこよりも優しく学べる環境をご用意しております。
毎週開催されるオンラインセッションでは、リアルタイムで学び合える機会を提供しています。 さらに、月に一度のオフラインイベントでは、メンバー同士が直接交流し、アイデアや知識を深めることができます。
「AIフレンズ」の仲間とともに、新しい価値を創造し、可能性を広げてみませんか？
一緒に学び、成長しながら、生成AIを使いこなす力を身につけましょう！
