ゼロデイ攻撃の事例をまとめて読む「Project Zero」とは？

本記事はサイバー被害を防ぐための知見の共有を目的としており、記事の内容の悪用や、不正行為、他者に損害を与える行為への利用を固く禁じます。

A2B攻撃（App-to-Backend Attack）は、公開されているソフトウェアを解析し、接続先のサーバを狙う手口だ。2026年10月13日、情報通信研究機構（NICT）は、国内で相次ぐ情報漏えいの原因の一つとして、Android向けソフトウェアの解析結果を悪用したA2B攻撃を特定したと発表した。

生成AIの利用で、ソフトウェアの解析や脆弱性の探索も効率化されている。NICTは、こうした攻撃がより多くのシステムへ広がる可能性を指摘している。Project Zeroも、大規模言語モデルが攻撃側・防御側の脆弱性の発見や悪用の能力を高めていると述べている。

A2Bのような手口を理解するには、攻撃の名前だけでなく、狙われる処理や攻撃が成立する条件を知る必要がある。ゼロデイ脆弱性を研究する「Project Zero」は、こうした原因の分析と防御への提言を公開している。

A2B攻撃では何が狙われるのか

A2B攻撃では、攻撃者がソフトウェアを解析し、サーバとのデータのやり取りに使うAPIの接続先や仕様を調べる。その情報を使って、サーバ側の認証・認可や入力値の検証の不備を狙う。NICTの注意喚起は、提供事業者に対して、不審なアクセスの調査、脆弱性の点検、不要なAPIの停止やアクセス制限などの暫定対策を求めている。

A2Bは、公開ソフトウェアの解析から接続先のサーバを攻撃する手口を指す。悪用された脆弱性が既知か未知か、修正が提供されているかは、個々の事例で確かめる必要がある。こうした原因や成立条件を研究者の分析から学べるのが、Project Zeroの公開記事だ。

ソフトウェアの解析にAIを組み合わせるツールの例が「REA」だ。A2B攻撃の背景にある解析技術を知りたい場合は、REAの機能と利用条件を紹介した記事で、解析できる対象や、導入前に確認する権限・データの取扱いを読める。

Project Zeroは何を調べるチームなのか

Project Zeroは、2014年に設立されたGoogleのセキュリティ研究チームだ。スマートフォンのOS、Webブラウザ、オープンソースのライブラリなど、多くの人が使うソフトウェアの脆弱性を調べている。

中心にあるのはゼロデイ脆弱性の研究だ。公式の説明では、攻撃者が把握していて、提供元から修正プログラムがまだ出ていない脆弱性をゼロデイと呼ぶ。研究を通じて深刻な欠陥の修正を進め、攻撃の仕組みを理解し、長期的なセキュリティ改善につなげることを目指している。活動紹介には、この目的と調査対象がまとめられている。

メッセージを開かなくても攻撃が成立するのはなぜか

2026年1月14日公開のPixel 9を対象にした研究は、利用者がクリックなどの操作をしなくても成立する「ゼロクリック攻撃」を扱っている。

調査の起点は、Googleメッセージが受信した音声の添付ファイルを、利用者が開く前に自動で処理することだ。文字起こしなどに必要な音声の解析処理に脆弱性があれば、受信データを通じて悪用される可能性がある。

Project ZeroはPixel 9で、音声処理の脆弱性と、より強い権限を得るための別の脆弱性を組み合わせた攻撃を研究として実装した。連載では、音声処理でのコード実行、OSの中核であるカーネルへの権限昇格、防御への提言を順に説明している。記事によれば、扱った脆弱性は2026年1月5日までに修正済みだ。

この研究は、画面で利用者が何を押したかに加え、受信後にソフトウェアが自動で何を処理するかが重要であることを示している。開発担当者にとっては、自社製品でも受信ファイルを自動解析する箇所があるか、解析処理にどんな権限を与えているかが点検対象になる。

見つけた脆弱性はいつ公開されるのか

2026年10月16日に確認した公開方針の基本は「90＋30」だ。提供元への通知から90日以内に修正が利用者へ提供された場合、その提供から30日後に技術的な詳細を公開する。90日以内に修正が提供されなければ、原則として90日の期限で公開する。

たとえば通知から47日目に修正が提供された場合、詳細の公開は77日目になる。修正のための期限と、利用者が更新を適用するための期間を分けた仕組みだ。実際の悪用が確認された脆弱性には7日を基本とする短い期限があり、猶予や合意による早期公開も定められている。

また、2025年7月の発表では、報告からおおむね1週間以内に、報告先・影響する製品・報告日・公開期限を知らせる試行を始めた。技術的な詳細や再現コードの公開とは時期を分け、部品の提供元から最終製品の利用者へ修正が届くまでの遅れを縮める狙いがある。

脆弱性の修正を早く届けるには

脆弱性を見つけても、利用者の環境で修正が有効になるまでは危険が残る。Project Zeroは2026年10月6日の緊急修正に関する記事で、脆弱性の受付から修正、テスト、配布、再起動などによる有効化までを分けて説明している。

対策として挙げられているのは、機能の有効・無効を切り替える仕組み、不正な入力の遮断、一部の部品を個別に更新する方法などだ。修正を急ぐ場合にも、テストや配布に必要な時間を見込み、事前に対応を用意する必要がある。

自社製品でも「問題のある機能だけを一時停止できるか」「修正が利用者の環境で有効になるまで、どの工程が必要か」を確認したい。Project Zeroの研究は、脆弱性の発見だけでなく、被害を防ぐ設計や修正の届け方までを対象にしている。

攻撃の入口ごとにほかの手法も整理したい場合は、侵入から情報窃取までの手口を扱った記事で、認証や認可の不備を利用する手法とも比較できる。