会社が認めなくても社員がAIを使うことは容易に想像がつくし、無断で使う社員が半数近いという先の数字もそれを裏づけている。AIを厳しく制限しただけの会社で、その行き先が偽サイトになれば、はまる落とし穴は同じというわけだ。
入り口は、偽サイトの形だけではない。例えば、ブラウザに機能を追加する「拡張機能」は、表示中の画面を読み取れる強い権限を持つ。広告を消す、翻訳する、ページを要約する。便利だからと1つ2つは入れている、という人は多いだろう。
その中に、まがい物が次々と紛れ込んでいる。この1年ほどで相次いで発覚した中には、認証情報を抜き取って本人になりすまし、業務サービスにログインできる状態をつくるものや、AIとのやり取りをそのまま外へ送るものもあった。
仕事を効率よく進めるための行動が、社内情報もアカウントも明け渡すことにもなりうる。
AIの答えの先で攻撃者が待っている
3つ目は、AIの答えを鵜呑みにして動く瞬間だ。そもそもAIは、実在しないものを本物のように答えることがある。この「幻覚（ハルシネーション）」を、攻撃者がわざと利用し始めた。
AIの幻覚には癖があり、同じ質問には同じ架空の答えが返りやすい。だからこそ攻撃者は、AIの答えを先回りできるというわけだ。
攻撃者がまず狙うのは、URLだ。「ブックマークが消えた。ログイン画面はどこ？」。そんな何気ない質問にこそ、AIは実在しない住所を自信たっぷりに答えてしまう可能性がある。攻撃者は、AIが答えがちな、実在しないドメイン（ネット上の住所）を先回りして押さえ、偽のログインページをそこに置いておく。
これが「ファントム・スクワッティング」という手口だ。検索の代わりにAIへ尋ねる人が増えたからこそ、この待ち伏せが成り立つ。
一方、「これは詐欺ではないか」などと思ってAIに尋ねても、安全とは限らない。26年7月には、犯罪グループがうその情報を大量にばらまき、関連ワードを調べるとAIの要約にまで「詐欺ではありません」と表示させる手口が確認され、警視庁が注意を呼びかけた。
幻覚を待つのではなく、答えそのものを作りにいく攻撃者もいる。確かめるための行動が、かえって背中を押す。
幻覚の先回りは、アプリを作る場面でも起きる。コーディング経験のない一般社員でもAIに指示するだけでアプリや分析ツールが作れる今、これは開発部門に限った話ではない。
アプリの開発では、一般公開されている「部品」を組み合わせることが多い。AIは実在しない部品の名前を挙げてしまうことがあり、攻撃者はそれを見越して、同じ名前のマルウェアを部品の配布サイトに置いておく。これが「スロップ・スクワッティング」だ。
