2026年10月22日木曜日

ChatGPTが犯罪を発見、AIが重大な欠陥を暴く——私たちもAIで身を守れるか

まとめ

ChatGPTが犯罪捜査を支援！警視庁がAIで種苗法違反の疑いがある投稿を発見。犯罪捜査のあり方が変わり始めた。
AIが世界のネットを脅かす重大欠陥を発見！ PHPの深刻な脆弱性をAIが発見。攻撃だけでなく、防御にもAIが威力を発揮する時代が到来した。
犯罪者だけにAIを使わせてよいのか？詐欺メール、偽サイト、不審な取引。一般国民もAIを使い、自分と家族を守る具体的な方法がある。

2026年10月21日、AIの可能性を示す2つのニュースが報じられた。警視庁がChatGPTを捜査に活用し、シャインマスカットなどの苗を無許可で出品・譲渡した疑いのある事件を発見したこと。そして、世界中のウェブサイトを支えるプログラミング言語「PHP」の重大な欠陥が、米OpenAIのAIなどを活用した研究によって発見されたことである。

前者は農業分野の知的財産を守る種苗法違反事件であり、後者は世界のインターネットに影響するサイバーセキュリティ問題である。一見無関係だが、両者には重要な共通点がある。人間が膨大な情報の中から見つけることが難しかった問題をAIが発見し、捜査や防御につなげたことである。

これまでAIについては、詐欺メールの作成、偽画像・偽音声の生成、サイバー攻撃への悪用など、その危険性が強調されてきた。もちろん警戒は必要だ。しかし、AIを犯罪者に有利な技術としてばかり捉えるのは一面的である。犯罪者がAIで攻撃能力を高めるのであれば、防御する側もAIを使いこなすべきではないか。

私は10月19日の記事「札幌市の情報公開条例が改正――住民は地方政治をどう監視すべきか」で、OSINT（公開情報の収集・分析）とAIを組み合わせれば、一般住民でも地方行政の実態を検証できることを論じた。今回の2つのニュースは、その考え方が犯罪の兆候の発見やサイバー犯罪の予防にも応用できることを示唆している。

AIは専門家だけの武器ではない。一般の国民も、自分と家族を守るために活用できる時代になりつつある。

1️⃣ChatGPTによる捜査とPHPの重大欠陥——AIは何を発見したのか

AIが犯罪の兆候や重大な欠陥を発見し、人間が検証・対応する仕組み（AI生成画像）クリックすると拡大します。

10月21日、警視庁久松署は、種苗法違反の疑いで男性2人を書類送検した。事件の発見に役立ったのが、ChatGPTを利用したサイバーパトロールである。

時事通信の10月21日付報道によれば、石川県能美市の自営業の男性（61歳）は2025年5月、インターネット掲示板にシャインマスカットの苗を1本1500円で譲渡すると投稿し、育成者権を侵害した疑いが持たれている。福島市の会社員の男性（45歳）は、イチゴの登録品種「桃薫（とうくん）」の苗を無許可で2人に計21株譲渡するなどした疑いがある。報道によれば、2人は容疑を認めている。

捜査員はChatGPTを使い、インターネット上の膨大な投稿から種苗法違反が疑われる情報を抽出していた。その過程で2人の投稿を発見したという。

農林水産省の説明によれば、育成者権が存続する登録品種を権利者の許諾なく増殖し、販売・譲渡する行為などは、原則として育成者権の侵害に当たる。優良品種は長年の研究と投資によって生まれる農業上の知的財産であり、その保護は我が国の農業技術と国際競争力を守ることにもつながる。

注目すべきなのは、AIが捜査官の調査能力を高めたことである。インターネット上の売買情報は膨大であり、人間だけですべてを調べることは容易ではない。AIが疑わしい投稿を抽出すれば、捜査員は確認すべき対象を絞り込める。

もちろん、AIが犯罪を認定したわけではない。投稿を発見した後、事実関係を調査し、証拠を確認して書類送検したのは警察である。AIの役割は、人間の判断を代替することではなく、その能力を拡張することにある。

もう1つのニュースも、同じ可能性を示した。

10月21日、PHPの開発チームは、重大な脆弱性2件を修正した更新版を公開した。PHPはWordPressなどにも利用されるプログラミング言語であり、企業のウェブサイトや通販サイトをはじめ、多数のオンラインサービスを支えている。

PHP公式の緊急発表によれば、今回の2件は深刻度を示すCVSSバージョン4.0で9.2と評価された。条件が整えば、攻撃者がログインせずにサーバー上で不正なプログラムを実行できる危険がある。欧州では政府機関のウェブサイトが予防的に停止されるなど、影響が広がった。ただし、予防的な停止は、実際に不正侵入や情報流出が発生したことを意味しない。

そして、この重大な欠陥の発見にもAIが関わっていた。

OpenAIが10月21日に公表した公式報告によれば、セキュリティ企業Califは、OpenAIのAIモデル「GPT-5.6 Sol」を利用して重大な欠陥を発見した。一方、Google傘下のセキュリティ企業Wizも独立した調査で2件の脆弱性を発見・報告していた。Wizの研究にもAIが活用されている。

今回の発見はOpenAIだけの成果ではない。複数の研究者とAIシステムが問題の解明に貢献し、PHP開発チームが修正作業と更新版の公開を主導したのである。10月21日には、PHP 8.5.12、8.4.27、8.3.36、8.2.35が公開された。

重要なのは、AIが問題を発見しても、それだけでは社会の安全性は向上しないという点である。脆弱性を検証し、修正し、実際のサーバーに更新を適用するまで、人間の組織が責任を持って行動しなければならない。

今回の2つの事件は、その対象も規模も異なる。しかし、AIが問題を見つけ、人間が検証し、権限と責任を持つ組織が対応するという構造は共通している。 ここに、犯罪の発見と予防にAIを活用する重要な可能性がある。

2️⃣AIとOSINTを組み合わせれば、一般国民の調査能力も変わる

AIによる調査は、警察やセキュリティ企業だけのものではない。一般の国民も、公開情報の収集と分析にAIを活用できる。

私は10月19日の記事で、OSINTを使った地方政治の監視について論じた。OSINTとは、公開された情報を収集・照合し、事実関係を明らかにする手法である。安全保障や情報機関の分野で広く知られているが、特別な調査権限を持たない住民にも利用できる。

例えば、自治体の議会会議録、予算書、決算書、契約結果などを比較すれば、政策決定の経緯や予算執行の実態を検証できる。AIを活用すれば、膨大な資料から必要な情報を抽出し、年度ごとの変化や説明の食い違いを調べる負担を軽減できる。

ただし、AIが疑問点を指摘したことと、不正が立証されたことは異なる。元の資料を確認し、誰が決定権限を持ち、どの手続きによって決定されたのかを明らかにしなければならない。国会議員が予算配分に影響を及ぼした可能性と、行政機関が正式に配分を決定した事実も区別する必要がある。

この原則は、今回の種苗法違反事件にも通じる。一般の利用者も、インターネット上で疑わしい取引を見つけた場合、AIで関連制度を調べ、行政機関の公表情報と照合できる。違法の疑いがあれば、根拠を整理して警察や権利者、販売サイトの運営者などに情報を提供することも可能である。

もっとも、一般の利用者に捜査権限が与えられるわけではない。AIの判断だけで相手を犯罪者と決めつけたり、個人情報を拡散したりしてはならない。AIは疑惑を広める道具ではなく、事実を確かめる道具として使うべきである。

そして、この考え方はサイバー犯罪の予防にも応用できる。

近年の詐欺メールや偽サイトは巧妙化している。生成AIを使えば自然な日本語の文章を容易に作れるため、文章が丁寧であることだけでは本物と判断できない。実在する企業や行政機関を装い、緊急の対応を迫る手口もある。

サイバー攻撃でも同様だ。今回のPHP問題が示したように、AIはソフトウェアの弱点を発見する能力を高めつつある。その能力が攻撃者にも利用されれば、防御側に残された対応時間はさらに短くなるおそれがある。

OpenAIも今回の公式報告で、AIによる脆弱性発見の能力が攻撃にも転用され得ることを指摘している。

ならば、防御する側がAIの利用をためらっていてよいはずがない。

警察は犯罪の兆候を探す。企業は自社システムの弱点を調べる。行政は大量の情報から異常を把握する。そして一般の国民は、不審な連絡や取引をAIで確認し、被害を避けるための判断材料を得る。

用途や権限は異なるが、AIによって情報分析能力を高めるという点では共通している。

犯罪者がAIを使う時代に、防御する側だけが従来の方法にとどまる必要はない。国家も企業も国民も、それぞれの立場でAIを防御に活用すべきである。

3️⃣一般の利用者は今日から何ができるのか——AIを日常の防御に使う

AIを犯罪予防に活用するために、高度なプログラミング技術を身につける必要はない。日常生活で不審な情報に接したとき、AIを確認の補助手段として使うことから始めればよい。

詐欺メールや偽サイトなどから自分と家族を守る、AIを活用した5つの防御策（AI生成画像）。クリックすると拡大します。

第1に、不審なメールやSMSの分析である。

例えば、宅配業者を装った「荷物を配達できませんでした」というSMSや、金融機関を名乗る「口座が停止されます」というメールが届いたとする。そのままリンクを開くのではなく、個人情報や認証情報を削除した文面をChatGPTなどに提示し、詐欺の兆候がないか分析させるのである。

質問は簡単でよい。

「このメールに詐欺の兆候がないか分析してください。不審な点と、公式情報で確認すべき項目を教えてください。判断できない部分は断定しないでください。」

AIは、緊急性を強調する表現や不自然な要求など、見落としていた問題点を指摘する助けになる。ただし、AIが安全だと回答しても、それだけで信用してはならない。警察庁のフィッシング対策でも、メールやSMSのリンクを安易に開かず、公式サイトや公式アプリから確認するよう呼びかけている。

第2に、怪しい通販サイトや取引の確認である。

著しく安い商品、実在する企業を装った広告、販売者の実態が分からないサイトなどに遭遇した場合、AIを使って確認項目を整理できる。販売会社の所在地、連絡先、返品条件などを調べ、公式情報と照合するのである。

ただし、AIが販売者の信用を保証できるわけではない。検索結果には誤情報も含まれるため、複数の情報源を確かめ、疑わしい場合は取引を控えることが賢明である。

第3に、利用しているサービスの安全性の確認である。

今回のPHP問題は、その重要性を示している。個人や中小企業がウェブサイトを運営している場合、サーバー会社から届いたセキュリティ情報をAIに説明させ、必要な対応を整理できる。

例えば、「今回のPHPの脆弱性について、サイト運営者が確認すべき項目を分かりやすく説明してください」と質問すればよい。PHPのバージョン、更新の必要性、サーバー会社の対応状況などを理解する手掛かりになる。

ただし、AIに質問しただけで脆弱性が修正されるわけではない。実際の更新は、管理権限を持つ運営者やサーバー事業者が行う必要がある。

第4に、OSINTとAIを組み合わせた公開情報の検証である。

利用している金融機関のセキュリティ情報、自治体のシステム障害、企業の個人情報漏洩に関する発表などをAIで整理し、過去の説明と比較することができる。何が変わり、何が確認されていないのかを明らかにすれば、行政や企業に具体的な質問をすることも可能になる。

これは単なる犯罪予防にとどまらない。国民が行政や企業の説明を自ら検証し、説明責任を求める能力を高めることにもつながる。

もっとも、通常のAIとの会話が自動的な継続監視になるわけではない。定期的な確認には、利用するサービスの通知機能や定期実行機能などの設定が必要である。

第5に、基本的な安全対策を怠らないことである。

AIが優れていても、ソフトウェアの更新、パスワードの適切な管理、パスキーや多要素認証、重要データのバックアップに代わるものではない。こうした基本対策を確実に行ったうえで、AIによる情報分析を加えるべきである。

また、AIに相談する際には、パスワード、本人確認書類、秘密情報、他人の個人情報などを不用意に入力してはならない。安全確認のために新たな情報漏洩を招いては本末転倒である。

ここまでの対策は、特別な専門知識がなくても始められる。AIを万能視せず、その回答を公式情報と照合し、必要な行動につなげればよい。

政府や自治体も、こうしたAIの安全な利用方法を国民に周知し、相談・通報の仕組みを分かりやすく整えるべきである。企業には、自社のシステムを安全に維持し、重大な脆弱性が発見された場合には迅速に対応する責任がある。

国家、企業、国民がそれぞれの責任に応じてAIを防御に活用することが、我が国全体のサイバー安全保障を強化することにつながるのである。

結論——AIを犯罪者だけの武器にしてはならない

今回の2つのニュースは、AIが犯罪の発見と防御に役立つことを具体的に示した。

警視庁はChatGPTを使って種苗法違反が疑われる投稿を発見し、捜査を経て2人を書類送検した。PHPの問題では、AIを活用した研究によって重大な欠陥が明らかになり、開発チームによる修正につながった。

いずれも、AIが単独で問題を解決したわけではない。AIが発見を支援し、人間が検証し、権限と責任を持つ組織が対応したのである。

この仕組みは、専門家だけのものではない。一般の利用者も、AIによって不審なメールを分析し、疑わしい取引を調べ、利用しているサービスの安全情報を確認できる。OSINTと組み合わせれば、行政や企業の説明を自ら検証する能力も高められる。

もちろん、AIには誤りがあり、専門的な防御装置や警察の捜査を代替するものではない。しかし、完全ではないからといって利用しないのは合理的ではない。

サイバー攻撃が高度化し、犯罪者もAIを利用する時代である。防御する側だけが過去の方法にとどまれば、危険を発見する能力や対応速度に差が生じかねない。

これは個人の安全だけの問題でもない。農業の育成者権を守ることは、我が国の知的財産と将来の農業生産力を守ることにつながる。サイバー攻撃を防ぐことは、企業活動や行政サービスを維持し、国民生活と経済活動の基盤を守ることにつながる。国民自身が情報を検証する能力を高めることは、行政や企業の説明責任を支える力にもなる。

AIを犯罪者だけの武器にしてはならない。防御する側も、AIを積極的に使いこなすべきである。

警察は捜査に、企業は安全対策に、行政は国民生活を守るために、そして国民は自分と家族の安全を確保するためにAIを利用する。

AIに無条件で依存するのでも、恐れて遠ざけるのでもない。その能力と限界を理解し、事実を確かめ、具体的な防御行動につなげるのである。

犯罪への対処を専門家だけに委ねるのではなく、国民一人ひとりがAIを使って自らを守る。その力を社会全体の防御につなげることこそ、AI時代の安全保障に求められる発想である。