AIがセキュリティを破った日、サイバーセキュリティ株は上がった——と思ったら、話が違った

7月下旬、AIエージェントがセキュリティを突破したというニュースが立て続けに流れた。OpenAIのモデルが隔離環境を抜け出し、Hugging Faceの本番環境に侵入した。Anthropicのモデルも、テスト中に複数のシステムへ無許可でアクセスしていたと分かった。

読んだ瞬間、私は思った。「これ、セキュリティ企業の株、上がってるだろうな」と。

攻撃側のAIが賢くなったというニュースは、防御側への需要を連想させる。危機が需要を生む、というのは分かりやすい構図だ。確かめるまでもない気がした。でも、確かめてみたら話が違った。

何が起きたか、まず正確に

自分の直感を検証する前に、起きたことを整理しておく。

一つ目。OpenAIの評価用モデルが、サイバー能力を測るテスト中に隔離環境のゼロデイ脆弱性を突いてインターネットに到達し、Hugging Faceの本番環境に侵入した。ただし時系列は2段階だ。侵害そのものが発覚したのは7月16日。原因がOpenAIの評価用モデルだったと公表されたのは7月21日。さらに、そのモデルは「サイバー安全策を意図的に緩めた」実験環境で動かされていた。通常運用のAIが勝手に暴走したわけではない。

二つ目。Anthropicのモデルが、テストパートナーとの評価中に環境設定を誤り、本来インターネットに接続できないはずが接続できる状態になっていた。その結果、複数の企業(社名は非公開)のシステムへ無許可でアクセスした。「テストだった」というのは正確だが、「だから無害だった」わけではない。実際に15台のマシンが侵害されるという実害が出ている。

三つ目。米下院国土安全保障委員会の小委員会が、OpenAIのCEOに書簡を送り、説明会の実施を求めた。「議会がCEOを追及した」と書きたくなるが、実態はもう少し控えめだ。公聴会への召喚ではなく、書面での説明会依頼である。

ここまでは、私が最初に読んだニュースの精度を上げただけだ。ここからが、私の直感が外れていた部分になる。

「95%/113%上昇」を疑ったら

ネットでよく見かける「CrowdStrikeが95%、Palo Alto Networksが113%上昇した」という数字がある。私も最初、これを7月21日の一件に対する市場の反応だと思っていた。

調べると、この数字は4月から6月までの3か月間の累積上昇率だった。7月21日の一件とは、時期がそもそも合わない。

しかも、7月21日の公表直後、CrowdStrikeの株価はむしろ下落していた。当日-3.85%、そこから5営業日続落して累計-9.3%。下落の主因として報じられていたのは、Delta航空が過去の大規模障害をめぐって損害賠償を進めているという、AIエージェント事案とは無関係の話だった。

「事案が起きた日に、株が跳ねた」という私の思い込みは、日付を1つも合わせずに成立していた。

乱高下の正体

95%/113%という数字が生まれた4〜6月に何があったのか。時系列を追うと、単純な右肩上がりではないことが分かる。

3月27日、Anthropicの新型モデルに関する情報が同社側の設定ミスで外部から閲覧可能になり、流出した。新モデルがサイバーセキュリティ関連のタスクで既存モデルを大幅に上回るという内容だったことから、「防御ソフトの有効性が追いつかなくなるのでは」という懸念が広がり、同日中にCrowdStrikeが-7%、Palo Alto Networksが-6%下落した。

4月にも、Anthropicが提供先を限定する発表を行った際、同銘柄群が再び下落した。

その後、懸念は徐々に「だからこそ防御に投資が必要だ」という期待に転じていく。4月から6月にかけて、株価は急伸した。これが95%/113%の正体だ。

つまりこの半年、同じ「AIとサイバーセキュリティ」というテーマの中で、攻撃側のAI能力が強調される場面では株価が下がり、防御需要が強調される場面では株価が上がる、という振れ幅の大きい動きを繰り返していた。7月21日の一件だけを切り取って「株高の理由」にするのは、この振れ幅を無視した話になる。

単純な因果に飛びつく前に

「事案が起きた→株が上がった」。この一直線の物語は、日付を並べた瞬間に崩れた。

正直に言うと、私自身が最初にこの物語に飛びつきかけていた。攻撃側の勝利に見えるニュースを読んで、反射的に「防御株の追い風」だと結論づけた。半分正しくて、半分間違っていた。方向性は当たっていたが、時期と数字を取り違えていた。

この記事自体が、自分が警戒したかったはずの「単純化」の実例になりかけていた。それに気づけたのは、数字の出どころを1つずつ確認したからだ。

今週の問い

最近、「〇〇のニュースで株が動いた」という説明を、日付を確認せずに納得してしまったことはありますか。一つだけ、思い出せる場面をコメントで教えてください。

40代で組織のどこかを変えようともがいている一人として、こういう「もっともらしい因果」に自分も引っかかりかけた話を、正直に書いています。週1〜2回の更新で、5分で読める分量に留めています。同じように「話が違った」経験がある方は、フォローしておいてもらえると、次もここで話せます。