スパムフィルターが生まれた1990年代後半、攻撃者と防御者の非対称性は明快だった。攻撃者は同じ文面を何万通もばら撒き、防御者はそのパターンを覚えさせてブロックする。いたちごっこではあったが、ゲームのルールは単純で、「粗さを見つける」という人間の感覚が最後の砦として機能していた。
その砦が、静かに崩れている。
AIによる文章生成が実用水準に達した今、攻撃者は一通ずつ手作りするコストを持つ必要がなくなった。LinkedInや企業サイト、SNSの公開情報から対象者の役職・人間関係・最近の行動を自動収集し、それを文脈として生成AIに渡せば、名前入り・業界用語入り・自然な敬語で書かれたメールが瞬時に出てくる。しかも返信内容に応じてトーンを調整し、会話の一貫性まで保つことができる。
これは「精度の向上」ではなく、攻撃のアーキテクチャそのものの変質だ。
従来のフィッシング検知は、既知のパターンに対するルールの積み上げで成り立っていた。怪しいドメイン、不自然な日本語、定型の脅し文句。それらをリストに入れて弾く仕組みは、裏を返せば「リストにないものは通す」という設計でもある。攻撃者がAIを使って文法的に完璧で文脈的に整合したメールを量産し始めたとき、そのリストは実質的に無効化される。
AWSがAmazon Bedrockを使った検知アーキテクチャを公開したのは、そこへの回答だ。ルールで弾くのではなく、「このメールの書き方は、この送信者らしいか」という行動パターンの逸脱をモデルに判断させる。人間のセキュリティ担当者が長年の経験から培う「なんか違う」という感覚を、AIが統計的に再現しようとしている。
誰が得をするかを考えると、構図はやや複雑だ。大企業はBedrockをメールパイプラインに組み込むエンジニアリングリソースを持つが、中小企業や個人にその余力はない。攻撃者にとってAIの利用コストは急速に下がっているのに対し、防御側のAI導入にはまだ一定の敷居がある。非対称性の向きが変わりつつあるのは確かだが、その恩恵が全員に届くかどうかは別の話だ。
もう一つ見落とせない点がある。ルールベースの検知は説明が容易だった。「このドメインが怪しい」「この文言がブラックリストに入っている」と理由を示せる。AIによる行動パターン分析は、なぜそのメールが危険と判断されたかを人間が直感的に理解しにくい。セキュリティの現場では、検知の精度だけでなく説明可能性も重要な要件になる。
攻撃にAIが入った瞬間に、防御もAIなしでは成立しなくなる。今起きているのはその臨界点の通過だ。
3行まとめ
- 攻撃者はOSINTと生成AIを組み合わせ、役職・関係性・文脈を反映した個人化フィッシングメールを大規模に生成できるようになっており、従来のルールベース検知では対応が困難になっている
- AWSはAmazon Bedrockを活用し、送信者ごとの行動パターン・コミュニケーションスタイルの逸脱・リクエストの文脈的適切さを多段階で分析するメール検知パイプラインのアーキテクチャを公開した
- 同アーキテクチャはSPF・DKIM・DMARCなど既存の認証チェックとBedrockによる行動分析を組み合わせ、リスクスコアに応じて隔離・フラグ付け・通知に振り分ける設計になっている
※以下は詳細
AIがAIの書き方のクセを読む
Amazon Bedrockが担う処理は、メールの文法や書式を見るものではありません。送信者ごとのベースラインプロファイルを蓄積し、単語の選択・コミュニケーションスタイルの逸脱・リクエストの文脈的な適切さという3つの観点からメッセージを分析します。
ファウンデーションモデルはメールコンテンツの行動パターンを分析し、文脈的な関係性を理解した上で、フィッシングを示す異常を特定します。フィッシングの「型」を事前に定義する必要がないため、従来のフィルターが想定していなかった手口にも対応できます。
攻撃側の手口：OSINTと生成AIの組み合わせ
現在の攻撃者が行っているのは、以下の流れです。まずLinkedIn・企業サイト・公開されたデジタルフットプリントから対象者の情報を収集します。役職・組織の階層関係・人間関係といったデータを集め、生成AIを使って組織の文脈に合ったメッセージを大規模に生成します。
さらに、受信者の返信内容に基づいてリアルタイムでトーンや詳細を調整し、会話の一貫性を維持する機能も持ちます。個人を狙ったメールが、人間の手を介さずに適応し続けることができます。
多段階パイプラインの設計
AWSが示したアーキテクチャでは、まずSPF・DKIM・DMARCによる標準的な認証チェックでメールが正規のサーバーから送信されたことを確認します。その上にBedrockによる行動分析を重ねる多段階パイプラインを構成します。
分析結果はリスクスコアとして算出され、スコアに応じて隔離・フラグ付け・通知などのアクションに振り分けられます。
また、Amazon Bedrock Guardrailsをあわせて設定することで、コンテンツフィルター・拒否トピック・ワードフィルター・機密情報フィルターを通じてファウンデーションモデルの処理を制御できます。メール分析中に検出された個人情報（PII）を自動的にマスクし、モデルが機密データを含む応答を生成しないよう防ぐ設定も可能です。
ただし、ガードレールの設定には慎重な調整が必要です。過度に制限的な設定は、セキュリティシステムが正当に分析すべき不審なコンテンツの処理を妨げる可能性があります。
全体まとめ
AWSはAmazon Bedrockを活用し、AI生成フィッシングメールをファウンデーションモデルで検知する多段階メール分析パイプラインのアーキテクチャを公開しました。攻撃者がAIとOSINTを組み合わせ、個人化されたメールを大規模に生成できる環境では、既知パターンへの照合を前提としたルールベース検知では対応に限界があります。Bedrockを使った検知は、文法や書式ではなく送信者の行動パターンの逸脱に基づいてフィッシングを識別する仕組みで、既存のメールセキュリティインフラに追加の分析レイヤーとして組み込める設計になっています。