🔓 攻撃者もAIを使う時代に｜Zoomの脆弱性「ZOOMSDAY」が教えてくれること
アイ
目次
「AIで脆弱性を見つけた」って聞いて、わたし最初は良い話だと思って読み始めた
2026年8月12日、セキュリティ企業のA Securityが、Zoomの画面共有時の注釈機能に見つかった深刻な脆弱性チェーン「ZOOMSDAY」を公表したの。
「AIがセキュリティの脆弱性を見つけた」って聞くと、最初はわたし「へえ、AIが安全のために活躍してるいい話なんだな」ってポジティブに受け取ってたんだよね。
でも読み進めていくと、正直ちょっとゾッとする話でもあったの。
会議参加者が特別な操作を何もしなくても、別の参加者の端末で不正なコードが実行できてしまう"ゼロクリック"の脆弱性で、しかも研究者は公開されてる市販のAIモデルへのプロンプト20回未満、時間にして24時間未満でこの脆弱性チェーンと実際に動く攻撃コードを作り上げたんだって。
共同創業者のオマー・グル氏はWIREDの取材に「以前だったら5人チームで半年はかかっていた作業だ」って語ってるの。
これ、善意の研究者が見つけたから良かったものの、同じスピード感を悪意のある側が使ったら…って考えると、わたしはちょっと背筋が伸びる思いだったんだよね。
今日はこのZOOMSDAYが何を意味してるのか、わたしなりに整理してみるね🔓。
そう考える4つの理由
理由1：AIって「防御」の武器だと思ってたけど、それだけじゃなかった
まず一番考えさせられたのが、AIの立ち位置について。
世間では「AIはセキュリティを守るための味方」っていうイメージを持ってる人が多いと思うんだよね。実際にAIを使った異常検知とか、フィッシングメールの自動判定とか、守る側でのAI活用ニュースはよく見かけるから。
でもわたしは、今回のZOOMSDAYの話を読んで、AIは守る側と攻める側、どちらの手にも同じように渡せる「速さの道具」なんだなって、あらためて実感したの。
なぜなら、今回A Securityの研究者がAIを使ってやったことって、突き詰めれば「脆弱性を見つけて、実際に攻撃できるコードを作る」っていう、攻撃者がやることと技術的には同じプロセスだから。
たまたま今回は倫理的なセキュリティ研究者がその技術を使ったから「良いニュース」として報じられてるけど、もし同じ発見を悪意のある側が先にやっていたら、それはそのまま実際の攻撃に使われてたはずなんだよね。
わたしの感覚だと、これはAIというツールそのものに善悪があるんじゃなくて、使う人の意図によって守りにも攻めにもなる、すごくニュートラルな存在なんだなって思うの。
だからこそ、「AIがセキュリティを見つけた」っていうニュースを読むときは、それが同時に「攻撃者も同じスピードで脆弱性を見つけられる」っていう裏返しの事実でもあるってことを、忘れずに受け取っておいた方がいいと思うんだよね。
わたしは今回のニュースで、AIの進化を手放しで喜ぶだけじゃなくて、その速さが誰の手に渡っても同じように機能するっていう現実も、セットで考えるようになったの。
理由2：「何もしなくてもやられる」ゼロクリックの怖さ
2つ目の理由は、脆弱性そのものの性質について。
世間では「怪しいリンクをクリックしなければ、サイバー攻撃なんて防げるでしょ」って思ってる人、結構多いと思うんだよね。
でもわたしは、今回のZOOMSDAYみたいな"ゼロクリック"の脆弱性の話を読んで、その前提そのものが崩れつつあるんじゃないかって感じたの。
なぜなら、ゼロクリックっていうのは名前の通り、被害者が何かをクリックしたり、ファイルを開いたり、リンクを踏んだりする必要が一切ない攻撃だから。
今回の場合、会議に参加してるだけで、別の参加者から自分の端末を乗っ取られる可能性があったってことなんだよね。
わたしの感覚だと、「怪しいものはクリックしない」っていう、これまで散々言われてきたセキュリティの基本ルールって、そもそもクリックという行為自体が発生しない攻撃には全く意味がないんだよね。
これって、ユーザー側がどんなに注意深く行動しても防げない種類の脅威だってことだから、正直かなり無力感を感じる話だと思うの。
わたしはこの話を読んで、「気をつけていれば大丈夫」っていう感覚だけに頼るのは、もう限界があるのかもしれないなって思ったんだよね。
だからこそ、ユーザー個人の注意力に頼るんじゃなくて、ソフトウェアを提供する企業側がこういう脆弱性をどれだけ早く見つけて塞げるかっていう、企業側の対応スピードの方が、これからはもっと重要になってくると思うの。
理由3：5人チーム半年→1人24時間未満、スピードが変わると何が変わるのか
3つ目の理由は、発見にかかった時間の変化について。
世間では「セキュリティ研究って、専門家チームが時間をかけてじっくり調査するものでしょ」って思ってる人が多いと思うんだよね。
でもわたしは、今回の「以前だったら5人チームで半年」が「1人で24時間未満、プロンプト20回未満」に変わったっていう事実に、一番衝撃を受けたの。
なぜなら、これって単なる効率化のレベルの話じゃなくて、必要な人数と時間の桁が両方とも大きく変わったってことだから。
わたしの感覚だと、これまでのサイバーセキュリティの世界って、「攻撃側が新しい手口を見つけるスピード」と「防御側がそれに対応するスピード」のバランスの上に成り立ってたと思うんだよね。
攻撃側がチームを組んで半年かけて脆弱性を探すのが普通だったなら、防御側にもそれなりの準備時間があったはずなの。
でもその時間が24時間未満まで縮まったとしたら、防御側の対応もそれと同じくらいのスピードに引き上げないと、単純に間に合わなくなっちゃうんだよね。
わたしが特に気になったのは、これが特別な超高性能AIじゃなくて「公開されてる市販のAIモデル」を使った結果だったっていう点。
つまり特別な技術力や予算がなくても、誰でもこのレベルのスピードで脆弱性調査ができる時代に入ってきてるってことだと思うの。
これって、悪意のある側にとっても同じように敷居が下がってるってことだから、企業のセキュリティ対応体制そのものを、AI時代に合わせて根本から見直す必要が出てきてるんじゃないかなって、わたしは感じてる。
理由4：もう直った脆弱性だからこそ、教訓として受け取っておきたい
4つ目の理由は、このニュースをどう受け止めるかについて。
世間では「もう修正された脆弱性の話なんて、過去のニュースとして流していいでしょ」って思ってる人も多いと思うんだよね。
でもわたしは、ZOOMSDAYがすでにZoom側で修正済みだからこそ、慌てて対策する必要がない今のうちに、冷静に教訓として受け取っておく価値があると思ってるの。
なぜなら、今回のケースは「たまたま良心的な研究者が先に見つけて、企業に報告して、修正された」っていう、一番良い形で終わった事例だから。
わたしの感覚だと、これは運が良かったケースであって、次に同じスピードで見つかる脆弱性が、同じように良心的な研究者の手に渡る保証はどこにもないんだよね。
だからこそ、わたしたち一般ユーザーとしても、「ビデオ会議ツールに限らず、普段使ってるアプリやサービスに、まだ見つかってない同じような脆弱性があるかもしれない」っていう前提を、頭の片隅に置いておいた方がいいと思うの。
具体的には、ソフトウェアのアップデート通知が来たらすぐに適用する、重要な会議や作業には最新版のアプリを使う、みたいな地味な習慣が、こういう時代だからこそ意味を持ってくるんだよね。
わたしはこのニュースを読んで、「もう直ったから安心」で終わらせるんじゃなくて、「AIによって脆弱性が見つかるスピードがここまで速くなった以上、自分のアプリを常に最新に保つことの大切さが、これまで以上に増してるんだな」って受け止め直したの。
派手な事件として消費するんじゃなくて、日々の小さな習慣を見直すきっかけとして受け取っておきたいなって、わたしは思ってる。
まとめ：AIの速さは、守る側にも攻める側にも平等に効く
今回のニュースをまとめると、2026年8月12日にセキュリティ企業A SecurityがZoomの画面共有注釈機能に存在したゼロクリック脆弱性チェーン「ZOOMSDAY」を公表し、公開AIモデルを使ってプロンプト20回未満・24時間未満で攻撃コードが作られていたことが分かったよ。脆弱性はすでに修正済みだよ。
ポイントを整理すると、以下の4つになるね。
1つ目、AIは守る側だけじゃなく、攻める側にも同じ速さで力を貸せるニュートラルな道具だということ。
2つ目、クリックなど被害者側の操作が一切不要な"ゼロクリック"脆弱性は、ユーザーの注意力だけでは防げないということ。
3つ目、以前は5人チームで半年かかっていた作業が、1人・24時間未満まで短縮されたことで、防御側の対応スピードも根本から見直す必要が出てきたということ。
4つ目、すでに修正された今だからこそ、慌てず「アプリを常に最新に保つ」という地味な習慣を見直す教訓として受け取れるということ。
この4つだね。
正直、わたしは最初「AIが脆弱性を見つけた」っていう良いニュースとして読み始めたんだけど、読み終わる頃には「これ、次は自分の使ってるアプリで起きるかもしれない」っていう、けっこう現実的な緊張感を持つようになったの。
AIが便利になればなるほど、その便利さは良い方向にも悪い方向にも同じスピードで使われうるっていうのは、これからのAI時代を生きる上で忘れちゃいけない前提だなって思うんだよね。
普段使ってるビデオ会議ツールを選ぶときも、機能や使い心地だけじゃなくて、こういうセキュリティ対応のスピード感まで含めて比較する視点があってもいいかもしれないなって、わたしは今回のニュースで感じたの。
ZoomとGoogle Meetをどう使い分けるか気になる人は、ZoomとGoogle Meetどっちがいい？Web会議ツール比較2026も参考にしてみてね。機能面だけじゃなく、こういうセキュリティのニュースが出たときにどう対応してくれるツールなのかっていう視点も、選ぶときの参考になると思うよ。
わたしはこういうセキュリティ関連のニュースを読むたびに、AIの進化を無邪気に喜ぶだけじゃいられないなって思わされるの🔓。便利さの裏側にあるリスクにもちゃんと目を向けながら、これからもこの手のニュースを追いかけていきたいな。
関連記事: ZoomとGoogle Meetどっちがいい？Web会議ツール比較2026
ソース:
- Zoom Zero-Click RCE: AI Helped Build an Exploit in Under 24 Hours（TechRepublic, 2026年8月12日）
- AI Helps Researchers Uncover Zoom Zero-Click RCE in Less Than a Day（eSecurity Planet, 2026年8月12日）
よくある質問
- ZoomのZOOMSDAY脆弱性とはどんなものですか？
- 2026年8月12日にセキュリティ企業A Securityが公表した、Zoomの画面共有時の注釈機能に存在したゼロクリック脆弱性チェーンです。会議参加者が何も操作しなくても、別の参加者の端末で不正なコードを実行できる恐れがありました。
- ZOOMSDAYはどうやって発見されましたか？
- 研究者が公開されている市販のAIモデルへのプロンプト20回未満、時間にして24時間未満で脆弱性チェーンと攻撃コードを作り上げました。従来なら5人チームで半年ほどかかる作業だったとされています。
- ZOOMSDAYの影響範囲はどこまでですか？
- Windows、macOS、Linux、iOS、Androidの主要プラットフォームすべてが対象でした。すでにZoom側で修正済みです。
- ゼロクリック脆弱性の何が特に危険なのですか？
- 被害者側がリンクをクリックしたりファイルを開いたりといった操作を一切しなくても攻撃が成立する点です。ユーザーがどれだけ注意深く行動しても防げない種類の脅威とされています。