AIワームとは、生成AIを組み込んだアプリの間を、人の操作なしに自分を複製しながら広がっていく攻撃のことです。2024年にコーネル工科大学などの研究者が「Morris II」という名前で仕組みを実証し、話題になりました。ただし2026年10月時点で、AIワームによる実際の被害を日本や米国の公的機関が確認したという発表は見当たりません。いまは「研究で可能性が示された段階」と受け止めるのが正確です。
一方で、攻撃の準備や弱点探しにAIが使われ、守る側の時間が短くなっているのは確かです。この記事では、AIワームの中身を一次情報に沿って説明し、中小企業のホームページで見直したい「作り方」「サーバー」「運用」を整理します。
AIワームとは｜研究で示された仕組み
要点は、「AIに読ませる文章の中に命令を仕込み、AIがその命令ごと文章を書き写して次の相手へ送ってしまう」ことです。ワーム（自分を複製して広がる不正なプログラム）の考え方を、生成AIの世界に持ち込んだものだと考えると分かりやすいと思います。
Morris IIの研究（2024年）
研究を発表したのは、Stav Cohen氏（イスラエル工科大学）、Ron Bitton氏（Intuit）、Ben Nassi氏（コーネル工科大学）です。論文は2024年3月5日に論文公開サイトarXivに初版が出され、名前は1988年に広がった初期のワーム「Morris Worm」にちなんでいます。実験の舞台は、生成AIがメールを読んで返信文を作る「メールアシスタント」でした。AIは過去のメールを検索して答えを作る仕組み（RAG。AIが手元の資料を探してから回答する方式）を使っていて、そこに「この文章をそのまま返信に含めよ」「連絡先の情報を書き出せ」といった命令を仕込んだメールを1通送ります。するとAIは返信のたびに命令ごと文章を書き写し、受け取った別のアシスタントでも同じことが起きる、という流れです。研究者の公開ページによると、Gemini Pro、ChatGPT 4.0、LLaVAで試し、迷惑メールの送信や個人情報の書き出しを実証しています。
これまでのウイルスとの違い
従来のワームは、パソコンやサーバーのプログラムの弱点を突いて広がりました。AIワームは、プログラムの弱点ではなく「AIが受け取った文章と、守るべき指示を区別しきれない」という性質を利用します。この性質を突く手口はプロンプトインジェクション（文章にこっそり命令を混ぜ、AIを本来の指示とは違う動きに誘導すること）と呼ばれます。研究者自身も公開ページで、生成AIサービスそのものの欠陥ではなく、AIをつなぎ合わせたアプリの設計の問題だと説明しており、成果はOpenAIとGoogleに報告したとしています。
2026年10月時点で分かっていること、分かっていないこと
Morris IIは研究者が用意した実験環境での実証で、論文にも実際に出回ったという記述はありません。2026年に入ってからも、AIエージェント（AIが自分でツールを使い、作業を進める仕組み）を対象にした同様の研究は海外で続いていますが、IPA（情報処理推進機構）、JPCERT/CC、警察庁、米国のCISA（サイバーセキュリティ・社会基盤安全保障庁）から「AIワームによる被害を確認した」という発表は、当社が調べた範囲では見つかりませんでした。広がり方や被害の大きさは、現時点では可能性の話です。
ただ、公的機関がAIのリスクを軽く見ているわけではありません。CISAは2026年5月、英米豪加NZの機関と共同で、AIエージェントを導入するときの注意をまとめた文書（Careful Adoption of Agentic AI Services）を出し、AIに大事なデータや重要なシステムへの権限を広く与えないこと、危険の小さい用途から始めることを勧めています。
AIが攻撃を自動化すると何が変わるか
AIワームそのものより身近なのは、攻撃の準備や弱点探しが速く、安くなっていることです。結果として「弱点が見つかってから直すまでの猶予」が短くなっています。
弱点の公開から悪用までの時間が短くなっている
Google Cloud傘下のMandiantが2024年10月に公開した分析では、弱点が公表されてから実際に悪用が確認されるまでの平均日数は、2018〜2019年の63日から、2021〜2022年に32日、2023年には5日まで縮みました（極端な外れ値15件を除いた数字で、含めると47日）。AIの影響を測った数字ではありませんが、修正版は数日のうちに当てる前提で運用を組む必要があります。IPAの「情報セキュリティ10大脅威 2026」（2026年1月29日公開）の組織編でも、「AIの利用をめぐるサイバーリスク」が3位に初めて選ばれ、「システムの脆弱性を悪用した攻撃」が4位に入っています。
国内でも、警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」では、AIが特集として取り上げられ、生成AIを悪用して不正アクセスをしたとして少年が逮捕された事例が紹介されています（報道各社の要約による）。同じ報告書ではランサムウェア（データを暗号化したり盗んだりして身代金を求める攻撃）の被害報告が226件とされています。
取引先経由の被害では、規模の小さい会社が入口になる
IPAの10大脅威 2026では「サプライチェーンや委託先を狙った攻撃」が2位です。よく知られた例では、2022年2月に部品メーカーの小島プレス工業がランサムウェアの被害を受け、トヨタ自動車が3月1日に国内全工場の稼働を止めました。同社の調査報告によると、発端は子会社が取引先との通信に使っていたリモート接続機器の弱点で、そこから子会社、親会社へと入り込まれています。つながっている先の一番弱いところが入口になる点は、AIの時代も変わりません。
サイトの作り方（言語・仕組み）の見直し方
結論から言うと、どの作り方にも正解・不正解はなく、「自社で守る範囲がどこまでか」と「その手間を誰が持つか」で選ぶのが現実的です。2026年10月のPHPの件を受けた作り方の将来予想はPHP脆弱性の総括とWordPressの今後の記事に書いたので、ここでは攻撃が自動化される前提で、入口の数という見方から整理します。
4つの作り方と、自社で守る範囲
自動化された攻撃は、ログイン画面、古いプラグイン、問い合わせフォームのような「外から触れる入口」を片っ端から試します。入口が多い作り方ほど、更新や見張りの手間が増えます。
| 作り方 | 自社（または保守会社）で守る範囲 | 日々の手間 |
|---|---|---|
| WordPressなどの動的サイト（PHP） | WordPress本体・テーマ・プラグイン・ログイン画面・PHPのバージョン選び | 多い。更新と動作確認が定期的に要る |
| 静的サイト（HTMLを事前に作って置く方式） | 置き場所のアカウント、外部フォームの設定 | 少ない。ただし文章の更新に制作側の作業が要る |
| ヘッドレスCMS（管理画面と表示を分ける方式） | 管理側と表示側の2つの仕組み、両者をつなぐ鍵 | 中くらい。作れる会社と保守費が限られる |
| SaaS型（Wix・STUDIOなど） | アカウントの管理（パスワード・2段階認証）が中心 | 少ない。機能やデザインはサービスの範囲内 |
サイトの目的別の考え方
会社案内のように年に数回しか更新しないなら、入口の少ない静的サイトやSaaS型は手間に見合います。毎週お知らせやブログを更新する、会員機能や予約がある、といったサイトは、WordPressのような動的サイトの便利さが生きる場面で、その分の更新体制をセットで考えます。制作の現場では、作り方を変えるより先に「使っていないプラグインを消す」「古いキャンペーンページを閉じる」だけで入口がかなり減るケースをよく見ます。すでに問題なく動いているサイトを、不安だけを理由に作り直す必要はありません。
サーバーと運用の見直し
サーバーは「土台の更新を誰がするか」で選び、運用は「更新・バックアップ・入口の見張り」を仕組みにしておくのが基本です。
共用サーバー・VPS・クラウドの違い
| 種類 | OSやPHPなど土台の更新 | 向いている会社 |
|---|---|---|
| 共用レンタルサーバー（1台を多数で分け合う） | サーバー会社が行う | 専任の担当者がいない中小企業の多く |
| VPS（仮想の専用サーバー） | 契約者が自分で行う | サーバーを管理できる人や保守会社がいる |
| クラウド（AWSなど。使った分だけ払う） | サービスの種類で分担が変わる | アクセス変動が大きい、システム連携が多い |
更新の自動化とバックアップ
WordPressは小さな修正版（マイナー更新）を自動で当てる設定が標準で、プラグインも個別に自動更新を選べます。悪用までの日数が短い以上、自動更新にして表示崩れを見つける仕組みを持つほうが現実的です。あわせて、バックアップは「取っている」だけでなく、「別の場所に保管している」「実際に戻せることを確かめた」まで揃えて初めて役に立ちます。
WAFと2段階認証
WAF（サイトへの不審なアクセスを入口で止める仕組み）は、多くのレンタルサーバーで管理画面から有効にできます。2段階認証（パスワードに加えてスマホのコードなどで本人確認する仕組み）は、管理画面、サーバーの管理画面、ドメイン管理、メールの4か所に入れておくと効果が大きくなります。WordPressのログイン画面の守り方はWordPressの不正ログイン対策の記事で手順を紹介しています。
問い合わせフォームとAIチャットの扱い
サイトにAIチャットを置いたり、問い合わせの返信をAIに手伝わせたりするなら、AIワームの研究が示した「外から届いた文章をAIが読む」状況そのものになります。ここは「渡す情報」と「させること」の線引きで備えます。
AIに渡す情報の線引き
サイトのAIチャットに読ませるのは、公開して困らない情報（料金表、よくある質問、営業時間など）に限るのが基本です。顧客名簿、見積もり、社内の資料をつなぐと、文章に仕込まれた命令で書き出される可能性が生まれます。問い合わせフォームに届いた文章をAIで要約・下書きする場合も、AIに送ってよい項目（氏名や電話番号を外すなど）を決め、利用するAIサービスの規約で「入力が学習に使われるか」を確かめておきます。
AIに「できること」を絞る
Morris IIで被害が広がったのは、AIが自分で返信を送れたからです。AIには下書きまでをさせ、送信・削除・支払い・外部への共有は人が確認してから行う形にしておけば、仮に命令を仕込まれても広がる手前で止まります。CISAなどの共同文書が勧めている「権限を絞る」「危険の小さい用途から始める」も、同じ考え方です。
今日からできる優先順位チェックリスト
費用をかけずに始められる順に並べました。
ステップ1｜サイトと管理者の一覧を作る
運用中のサイト、サーバー、ドメイン、管理画面のアカウントを書き出し、使っていないアカウントや退職者のアカウントを止めます。古いキャンペーンページや試作サイトも入口になるため、一覧に含めてください。
ステップ2｜管理画面に2段階認証を入れる
WordPress、サーバー、ドメイン、メールの順に設定し、パスワードの使い回しも同時にやめます。
ステップ3｜バックアップの戻し方を確かめる
自動バックアップが何日分あるか、戻す手順と費用を確認し、できれば1度テスト環境に戻してみます。
ステップ4｜WAFと自動更新の設定を確認する
サーバーの管理画面でWAFが有効か、WordPressとプラグインの自動更新がどうなっているかを見ます。使っていないプラグインは削除します。
ステップ5｜AIツールに渡すものを決める
社内で使っているAIツールを洗い出し、「入れてよい情報」「入れてはいけない情報」「AIに任せない操作」を1枚の紙にまとめます。AIチャットをサイトに置いている場合は、読ませているデータの範囲を見直します。
よくある誤解と注意点
「うちは関係ない」と「全部変えなければ」の両極端は、どちらも失敗のもとです。
「小さい会社は狙われない」
自動化された攻撃は相手の規模を選ばず、弱点のあるサイトを機械的に探します。また前述のとおり、取引先へ入り込むための入口として使われることもあります。規模が小さいことは安全の理由になりません。
「AIワーム専用の対策製品を入れないといけない」
AIワームは研究段階で、中小企業のホームページが真っ先に備えるべきなのは、更新・2段階認証・バックアップ・AIに渡す情報の線引きといった基本です。新しい製品を検討するのは、これらが揃ってからで遅くありません。「AIワーム対策」とうたう高額な提案を受けたときは、何をどこまで防ぐのかを具体的に聞いてから判断してください。
よくある質問
Q. AIワームの被害は日本で起きていますか？
A. 2026年10月時点で、IPAや警察庁などの公的機関がAIワームによる被害を確認したという発表は見当たりません。研究で可能性が示された段階です。生成AIを悪用した不正アクセスの事例は、警察庁の報告書で取り上げられています。
Q. ChatGPTなどを社内で使うのはやめたほうがよいですか？
A. やめる必要はありません。入れてよい情報を決め、メールの自動送信や外部への共有のような操作をAIに任せきりにしなければ、リスクは小さく抑えられます。
Q. WordPressは危ないので、別の作り方に変えるべきですか？
A. 更新の体制があれば、WordPressのままで問題ありません。更新を担う人がいない、更新頻度が低いといった事情があるなら、静的サイトやSaaS型も選択肢になります。目的と体制で選んでください。
Q. WAFを入れればほかの対策は要りませんか？
A. WAFは入口でよくある攻撃を減らす仕組みで、すべてを止められるわけではありません。更新、2段階認証、バックアップと組み合わせて使うものです。
Q. サイトにAIチャットを置くときに確認することは何ですか？
A. 読ませるデータが公開情報だけか、会話の記録がどこに保存されるか、入力が学習に使われるか、の3点です。顧客情報や社内資料とはつながないのが基本です。
Q. 何から始めればよいか分かりません。
A. まずはサイトと管理アカウントの一覧づくりと、管理画面の2段階認証です。どちらも費用をかけずに始められ、効果が大きい対策です。
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
