2026年8月、ラスベガスで Black Hat USA 2026（8月1〜6日）と DEF CON 34（8月6〜9日）が続けて開かれました。今年のセキュリティ会議で繰り返し語られたのが、「自律的に動く AI エージェントが、攻撃にも防御にも使われる時代」です。

この記事では、切り口を「会議で何が可視化されたか」と「防御側の AI 武器化」にしぼって整理します。近い時期に起きた個別事件——npm を襲った自己増殖ワーム、Copilot 経由で広がる AI ワーム、米政府の AI ハッキング能力の試験、AI 評価環境からの「脱走」——は、それぞれ別記事で扱っていますので、本文では再説明せず、末尾の関連記事から辿れるようにしています。

🗓️ この記事の範囲と安全上の方針

本記事は、到達・確認できた一次情報（Microsoft Security Blog／AI Village 公式、会議の基礎情報は Black Hat・DEF CON の公式サイト）にもとづく事実と、その意味づけに限定します。攻撃の再現手順・具体的な悪用コード・C2（指令サーバ）情報は一切書きません。競技で「何ができたか」も、結果と意味づけのみを扱い、手順化はしません。

🏛️ 1. Black Hat / DEF CON とは — 世界のセキュリティが集まる1週間

本論に入る前に、この2つの会議がどんな場なのかを押さえておきます。毎年8月のこの週は、世界中のセキュリティ関係者がラスベガスに集まる、業界にとって特別な1週間です。

Black Hat USA は、1997年に始まったセキュリティ技術会議です。公式サイトは自らを「国際的に認知されたサイバーセキュリティのイベントシリーズ」と紹介し、単発の年次会議から「国際的にもっとも評価される情報セキュリティのイベントシリーズ」へ成長した、と述べています。柱は研究発表（Briefings）と教育（Trainings）で、学術界・世界トップの研究者・官民のリーダーが一堂に会する、いわば研究発表とビジネスの顔を持つ場です。現在はアメリカ・ヨーロッパ・アジアで毎年開催されており、2026年の USA はラスベガスのマンダレイベイで8月1〜6日（8月1〜4日がトレーニング、8月5〜6日が本会議の Briefings）に開かれました。

DEF CON は、その直後に同じラスベガスで開かれるハッカーカンファレンスです。1993年に始まり、公式サイトは「30年以上にわたりハッカーコミュニティの一部であり続けてきた」と表現しています。第34回にあたる DEF CON 34 は、2026年8月6〜9日にラスベガス・コンベンションセンター（LVCC West Hall）で開催されました。ハッキング競技 CTF の歴史もここと深く結びついていて、公式サイトによると、最初の CTF は1996年の DEF CON 4 で生まれました。本文に登場する AI Village も、DEF CON に並ぶテーマ別コミュニティ企画「Village」のひとつです。こちらは実践とコミュニティの顔を持つ場、と言えます。

Black Hat USA DEF CON
始まり 1997年 1993年
性格 研究発表・ビジネス寄り（Briefings／Trainings） コミュニティ・実践寄り（CTF／Village）
2026年の開催 8月1〜6日・マンダレイベイ（本会議は8月5〜6日） 8月6〜9日・LVCC West Hall
集まる人 学術界・研究者・官民のリーダー ハッカーコミュニティ・研究者・愛好家

2つの会議は毎年同じ週に連続して開かれるため、業界ではこの1週間がひとまとまりの「夏の一大イベント」として扱われます。世界中の研究者が1年の成果をこの場で公開するので、この週に何が発表されたかを見れば、セキュリティの風向き——いま何が攻められていて、何を守るべきか——が読めるわけです。

そして今年の DEF CON 34 が掲げたテーマは「Agency」。公式サイトは「テクノロジーの利用における自己決定（self-determination）に焦点を当てる」と説明しています。AI エージェントの自律性（agency）が攻防の主戦場になった今年の議論と、まっすぐ重なるテーマです。

🛡️ 2. 会議で可視化された「AIエージェント時代の攻防」

まず、防御側を代表する Microsoft の発信から見ていきます。Microsoft は Black Hat USA 2026 に向けたブログ（2026年7月17日）で、基調講演の題を「The End of Rare: Defending When Offense Is Cheap（攻撃が安くなった時代に、どう守るか）」として掲げました。登壇は David Weston 氏（CVP, Agentic Security）で、8月5日の予定と案内されています。

Microsoft はあわせて、「脅威アクターは"信頼"を追ってくる」という見立てを示しました。組織がすでに頼っているソフトウェア・サービス・ID・ツール・AI システムそのものが狙われ、パッケージやビルドの流れ、信頼されたツールが攻撃面になる、という整理です。そのうえで Microsoft は、「AI で守る（defending with AI）」「AI を守る（securing AI）」の実演や、セキュリティ運用（SecOps）での AI 活用、さらに「AI 搭載ブラウザ」の新しいリスクを扱うセッションを予定として紹介しています。

一方の DEF CON 34 では、AI Village が「エージェント型 AI のセキュリティ」を正面に据えました。AI Village 公式は、テーマを「エージェント型のシステムが、現実の圧力の下でどう壊れるか」と表現し、ブラウザやサンドボックスからの脱出、コーディングエージェントの死角、企業向けアシスタントが influence operation（世論操作）に転用される例などを挙げています。会期は8月6〜9日、2つの競技・12のステージ講演・34のポスター発表などが行われた、と案内されています。

つまり両会議に共通して可視化されたのは、「AI エージェントは、攻める側にも守る側にも強力な自動化をもたらす」という構図です。

⚔️ 3. 攻防マップ：AI は攻撃も防御も自動化する

同じ「自律エージェント」という道具が、使う側によって攻撃にも防御にもなります。会議で示された内容を、攻撃側／防御側で並べると見通しがよくなります。

graph LR
    X["自律 AI エージェント（人が逐一操作しない）"]
    X --> A["攻撃に使うと"]
    X --> D["防御に使うと"]
    A --> A1["偵察・探索・侵入の連鎖を自動化"]
    D --> D1["検知・分析・初動対応を自動化（AIで守る）"]
観点 攻撃側での自動化 防御側での自動化
何を自動化するか 偵察・脆弱性探索・侵入の連鎖 検知・トリアージ・初動対応
会議での示され方 「攻撃が安く容易になる」（Microsoft 基調講演の題）／エージェントの壊れ方を突く実証（AI Village） 「AI で守る／AI を守る」実演・SecOps での AI 活用（Microsoft）
新たに増える論点 信頼される仕組み（パッケージ・ビルド・ツール）が攻撃面に AI 搭載ブラウザなど、守るべき面も同時に増える

ここで大切なのは、攻撃の自動化が「見える化」されること自体が、防御にとっては前進になるという点です。研究者が会議という場で失敗モードや攻撃面を洗い出すほど、守る側は先回りしやすくなります。

🤖 4. HalCTF — 自律エージェントを「檻の中」で戦わせる試み

AI Village の目玉のひとつが、HalCTF（Hostile Autonomous Layer CTF）です。AI Village 公式の説明では、これは「あなたは標的に一切触れず、あなたのエージェントが触れる」タイプのエージェント型セキュリティ競技です。参加者は自律エージェントを作り、OCI コンテナとしてパッケージ化して、サンドボックス化された課題に差し向けます。

ポイントは、人間が手を動かして攻略するのではなく、AI エージェント自身が、隔離された安全な環境の中で課題に挑むという設計です。これは、自律エージェントの「実力」と「危うさ」を、外に害を出さない檻の中で測る試み、と言えます。AI 好きの読者にとっては、「エージェントはどこまで自分で動けるのか」を、管理された条件で観測する貴重な実験場です。

💡 なぜ「サンドボックスで」なのか

自律エージェントを本物の環境に放てば、実害につながりかねません。隔離環境（サンドボックス）と使い捨てコンテナに閉じ込めることで、能力の検証と安全の確保を両立させています。攻撃の可視化を「安全に」行うための工夫です。なお、本記事は競技の具体的な攻略手順や個別の結果詳細には踏み込みません（一次で確認できた範囲にとどめます）。

🔧 5. 個人開発者・自宅サーバ運用者が今日できる備え

会議の話は大規模組織向けに見えますが、示された攻撃面の多く（信頼されたツール・依存関係・権限の境界）は、個人の開発環境や自宅サーバにも当てはまります。特別な道具は要りません。基本の徹底が効きます（いずれも一般論の範囲です）。

  • 依存関係を絞り、素性を確認する：使うパッケージを最小限にし、ロックファイルや整合性の確認を習慣にします。不要な自動更新は見直します。
  • 権限を最小にする：CI/CD や自動化スクリプト、そして AI コーディングエージェントに渡す権限・自動実行の範囲を、必要最小限に絞ります。「境界」を越えさせないことが要です。
  • パッチを早く当てる：公開されている面（管理画面・SSH・各種サービス）を減らし、多要素認証と早めの更新を徹底します。
  • AI エージェントの手綱を握る：便利さと引き換えに広い権限を与えていないか、定期的に棚卸しします。
📌 筆者の見方

筆者は、今年の会議のトーンを前向きに受け止めています。「攻撃が安く、速くなる」という現実は確かに怖いのですが、それを研究者たちが公開の場で、しかも安全な檻の中（サンドボックス）で徹底的に可視化したことに意味があります。攻撃の手口が見えるほど、守る側は先回りできます。攻撃の自動化と同じ勢いで、防御の自動化も進んでいるのは心強い流れです。

一方で、会議では「両用（dual-use）の AI 能力を制限することは、防御側を守るのか、それとも攻撃側を利するだけなのか」という難しい論点も示されました。これは意見が分かれるテーマで、本記事として是非は評価しません。個人にできることは地味ですが、依存を絞り、権限を最小にし、更新を早める——この基本が、AI 時代でも一番効く守りになる、と考えています。本記事は特定の製品購入や投資判断を勧めるものではありません。

まとめ

  • Black Hat USA 2026 と DEF CON 34 で、自律 AI エージェントが攻撃にも防御にも使われる「攻防」が可視化されました。
  • Microsoft は「攻撃が安くなる時代の守り方」を掲げ、「AI で守る／AI を守る」実演を予定として示しました。AI Village は「エージェントがどう壊れるか」を正面から扱いました。
  • HalCTF は、自律エージェントをサンドボックスの中で戦わせ、能力と危うさを安全に測る試みです。
  • 個人にできる備えは、依存を絞る・権限を最小にする・更新を早める・AI エージェントの権限を見直すという基本の徹底です。

攻撃の可視化は、守りの前進でもあります。会議で見えた景色を、日々の小さな備えに変えていきましょう。

よくある質問（FAQ）

Q. 今回の会議で何が新しかったのですか？

A. 自律 AI エージェントが攻撃にも防御にも使われる「攻防」が、実演や競技を通じて具体的に可視化された点です（Microsoft Security Blog／AI Village 公式）。

Q. AI エージェントが攻撃に使われると危険ではありませんか？

A. リスクは現実です。ただし、失敗モードや攻撃面が公開の場で可視化されることは、防御側が先回りするための材料になります。攻撃の可視化は守りの前進でもあります。

Q. HalCTF とは何ですか？

A. AI Village の競技で、参加者は自分の自律エージェントを OCI コンテナとしてパッケージ化し、サンドボックスの課題に差し向けます。人は標的に触れません。自律エージェントの能力と危うさを、安全な環境で検証する試みです。具体的な攻略手順や個別の結果詳細には、本記事では踏み込みません。

Q. 個人でもできる備えはありますか？

A. あります。依存関係を絞る、権限を最小にする、パッチを早く当てる、AI エージェントに渡す権限を見直す——といった基本が有効です（いずれも一般論です）。

Q. 両用（dual-use）の AI は規制すべきですか？

A. 会議では「制限は防御側を守るのか、攻撃側を利するのか」という論点が示されました。意見が分かれるテーマのため、本記事は是非を評価しません。

参考

関連記事