Data is CITY

Data is CITY

自分たちのデジタル環境を、自分たちで理解し、守れる社会へ。

最初の映像人と AI エージェントで、会社を守る2026年10月21日 夜11時、PHP の修正公開から　語り：Teleport 野口 岳

読む ↓

012026年10月21日 夜11時

PHP の修正が公開された夜、銀行もネットショップもサービスを止めた

PHP が、2つの重大な脆弱性を直す更新を、2026年10月21日、日本時間の夜11時に公開しました。認証なしで、外からサーバーを乗っ取れる脆弱性です。公開は、予定より1日早められました。その1時間前、首相は自ら X で、こう呼びかけていました。「皆様に、今夜に対応して頂きたい大至急のお願いです」。銀行も、ネットショップも、ゲームも、更新のためにサービスを止めました。

出典（6）
  1. PHP が重大な脆弱性 2 件を直す修正版を、2026 年 10 月 21 日 23 時（日本時間）に公開した。認証なしで外からサーバー上のコードを動かされるおそれがあるUpcoming Critical PHP Security Release ／ セキュリティアドバイザリ（php.net ニュース 2026）PHP・2026-10-21
  2. 公開は予定より 1 日前倒しになったToday's PHP security release and how we're strengthening PHP securityThe PHP Foundation・2026-10-21
  3. 修正版公開の約 1 時間前、首相が自ら X で「皆様に、今夜に対応して頂きたい大至急のお願いです」と呼びかけた高市早苗（@takaichi_sanae）の X 投稿高市早苗・2026-10-21
  4. 銀行がネットバンキングなどを一時停止した（静岡銀行の例）（報道）日本経済新聞の記事（静岡銀行のネットバンキング等の一時停止）日本経済新聞・2026-10-21
  5. ネットショップ（BASE）やゲーム（ウマ娘、グランブルーファンタジーなど）が緊急メンテナンスに入った（報道）Impress Watch の記事（PHP の脆弱性を受けた各社の緊急メンテナンス）Impress Watch・2026-10-21
  6. Shadowverse・BASE などの停止は PHP の影響と各社の発表・取材で分かった（報道）ITmedia NEWS の記事（PHP の脆弱性を受けた各社のサービス停止）ITmedia NEWS・2026-10-21
不審な通信は10年で約5倍。私たちはサイバー戦争の時代に入っていた

02伸びつづける攻撃

不審な通信は10年で約5倍。私たちはサイバー戦争の時代に入っていた

突然の出来事ではありません。日本のネットワークに届く不審な通信は、この10年で約5倍。アメリカでは、サイバー犯罪の被害額が、5年で約5倍に増えました。私たちは、気づかないうちに、サイバー戦争の時代に入っていたのです。

出典（2）
  1. 国内の観測網に届いたサイバー攻撃に関連する通信は、2016 年の約 1,440 億パケットから 2025 年の約 7,010 億パケットへ、10 年で約 4.9 倍NICTER 観測レポート 2025情報通信研究機構（NICT）・2026-02-05
  2. 米 FBI に届いたネット犯罪の被害額は 2020 年の 42 億ドルから 2025 年の 208 億ドル余りへ、5 年で約 5 倍2025 Internet Crime ReportFBI Internet Crime Complaint Center（IC3）・2026-04

03AI が変えた攻撃

攻撃を変えたのは AI。この戦争には終わりがない

攻撃を変えたのは、AI です。ある攻撃では、作業の8割から9割を、AI が自律的に進めていました。盗まれたトークン一つから、3時間ほどでクラウドの管理者権限に届いた例もあります。

まさに、映画『サマーウォーズ』のようなサイバー戦争が、始まりました。ただ一つ、映画と違うのは、この戦争には終わりがないということです。これは、新しい戦争の時代の、幕開けです。

出典（2）
  1. ある攻撃（国家支援と判断されたグループ）で、作業の 8〜9 割を AI が自律的に進めていたDisrupting the first reported AI-orchestrated cyber espionage campaignAnthropic・2025-11-13
  2. 盗まれた開発者のトークン 1 つから、約 3 時間でクラウドの管理者権限まで奪われたDetecting and countering misuse of AI: September 2026Anthropic・2026-09
侵入から広がるまで平均29分、最速27秒。攻撃は人の判断を待たない

04守る側の時間

侵入から広がるまで平均29分、最速27秒。攻撃は人の判断を待たない

守る側は、追いついているでしょうか。侵入から、社内の別のマシンへ広がるまで、平均29分。最も速い例では、27秒です。セキュリティ担当者の88%が、人やスキルの不足で、深刻な事態を経験したと答えています。人が気づき、集まり、判断するのを、攻撃は待ってくれません。

出典（2）
  1. 侵入から社内の別のマシンへ広がるまで、平均 29 分、最速 27 秒（2025 年）2026 Global Threat ReportCrowdStrike・2026-02-24
  2. セキュリティ担当者の 88% が、人やスキルの不足で深刻な事態を 1 年に 1 度以上経験した2025 Cybersecurity Workforce StudyISC2・2025-12-04

05修正の公開は、弱点の公開

公開から数時間で攻撃コードが出回り、守る側は PHP の在りかを探しはじめた

10月21日の夜に戻ります。修正の公開は、どこが弱いかの公開でもあります。AI を使えば、修正の差分から、動く攻撃コードを1時間足らずで作れる、という研究もあります。今回も、公開から数時間で、攻撃コードが次々と出回りました。そのとき守る側がまずやるのは、自分の会社のどこで PHP が動いているのかを、探すことです。

出典（2）
  1. AI に修正の差分を読ませると、1 時間足らずで最初の動く攻撃コードができた（研究室の条件での研究）Measuring LLMs' impact on N-day exploitsAnthropic Frontier Red Team・2026-06-08
  2. 今回の PHP では、修正の公開から数時間のうちに攻撃コードが次々と出たAmazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAmazon Threat Intelligence（AWS Security Blog）・2026-10-21
防御と検知は専門家へ。残る4つは、会社の中の情報のやりとり

06守りの仕事は6つ

防御と検知は専門家へ。残る4つは、会社の中の情報のやりとり

どこで動いているのか。持ち主は誰か。どれから直すかを誰が決め、誰に知らせるのか。この問いには、ファイアウォールも、検知の製品も、答えてくれません。

NIST のサイバーセキュリティフレームワークで整理すると、はっきりします。守りの仕事は、統治、識別、防御、検知、対応、復旧の6つ。防御と検知は、侵入されたその瞬間に、数秒から数分で食い止める仕事です。ここは、サイバーセキュリティの専門の会社と製品が担っています。PHP の修正が公開された夜に、守る側が抱える問いは、残る4つの側にあります。何を持っているかを知り、誰が決め、誰に伝え、どう立て直すか。会社の中の、情報のやりとりそのものです。

出典（1）
  1. NIST のサイバーセキュリティフレームワークでは、守りの仕事は統治・識別・防御・検知・対応・復旧の 6 つの機能サイバーセキュリティフレームワーク（CSF）2.0（NIST CSWP 29）日本語訳NIST（日本語訳: IPA）・2024-02-26
パワポとエクセルとメールは断片。会社の全体は、どこにも置かれていない

07全体がどこにもない

パワポとエクセルとメールは断片。会社の全体は、どこにも置かれていない

多くの会社は、この情報のやりとりを、いまもパワポとエクセルとメールで回しています。どれも、会社という全体から、誰かのために一部を書き出したものです。けれど、その全体は、どこにも置かれていません。だから、PHP の修正が公開された夜も、守る側はまず、あちこちのエクセルやメールをかき集めて、どこで動いているのかを調べるところから始めます。

ダッシュボードや BI を入れても、この探す手間はなくなりません。映るのは、数字の一部だけです。会社の全体は、もう、人が一度に見渡せる大きさを超えています。

Data is CITY

08CITY というフォーマット

CITY は、会社の全体を一つの形式で持ち、動いたまま見せ続ける

必要なのは、会社の全体を一つの形式で持ち、動いたまま見続けられることです。Data is CITY プロジェクトでは、そのためのフォーマットを、CITY と呼んでいます。

システムも、データも、アカウントと権限も、外とのつながりも、持ち主も、なぜそう決めたかも。すべてを一つの CITY に収める。そこから、経営には判断の材料を、現場には手順を、取引先には影響の範囲を、相手ごとに書き出せます。そして CITY のビューワーは、会社のサービスやデータベースを一つひとつ建物にして、街のように並べた 3D で描きます。まるで街づくりのシミュレーションゲームのように、引いたり寄ったりしながら、全体の動きを一目で見せ続けます。

09CITY を保つのは AI エージェント

AI エージェントが CITY を毎日描き直し、人はその上で決める

CITY を毎日最新に保てるのは、人ではなく、AI エージェントです。クラウド、コード、業務ツール、ドメイン、アカウントと権限。AI エージェントが設定と台帳を読み直し、CITY を描き直し続ける。新しく外に開いた入口も、辞めた人に残った権限も、その日のうちにビューワーに現れます。人の手では保てなかった全体を、AI エージェントが保ち、人はその上で決める。

CITY を持つ会社なら、その夜のうちに直すべき場所までたどり着ける

1010月21日の夜を、やり直す

CITY を持つ会社なら、その夜のうちに直すべき場所までたどり着ける

もう一度、10月21日の夜11時を、CITY を持つ会社でやり直してみます。

修正が公開されると、AI エージェントが CITY を調べ、PHP が動いているシステムに印をつけます。外とつながっているのはどれか。持ち主は誰か。どれから直すかを、誰が決めるのか。答えは、すでに CITY の中にあります。

AI エージェントが、持ち主には手順を、経営には優先順位を書き出して届け、人が、順番を決めて直す。直ったものから、AI エージェントが確かめ直し、印が消えていきます。もし攻撃が届いていても、どのデータに触れられ、どこから戻すかを、同じ CITY の上で決められます。

エクセルやメールをかき集めなくていい。その夜のうちに、直すべき場所までたどり着けます。

AI エージェントは読み・描き・確かめ、人は決めて責任を持つ

11人と AI エージェントのチーム

AI エージェントは読み・描き・確かめ、人は決めて責任を持つ

AI エージェントは、昼も夜も、読み、描き、書き出し、確かめる。人は、決めて、責任を持ち、お客さまと向き合う。侵入を数秒から数分で食い止める仕事は、これまでどおりサイバーセキュリティの専門家が担い、CITY は、その専門家に全体と経緯を渡します。守りの6つの機能が、一つの CITY の上でつながります。

12テレポートの CITY

テレポートは2026年8月から、自分たちの会社を CITY にしている

テレポートは、2026年8月から、自分たちの会社を CITY にしています。AI エージェントの棚卸しで見つかったのは、使われていない公開の入口。辞めた人に残っていた権限。誰にも届いていなかった通知の経路。理由を残しながら、一つずつ閉じていきました。

大切なデータ、お客さん、仲間を、どうやって守っていくか

13終わりのない戦争

大切なデータ、お客さん、仲間を、どうやって守っていくか

脆弱性も、被害も、一つの会社の中では止まりません。

攻める側は、AI の進化によって、攻撃をさらに加速させています。守る側も、人だけで対応していては、もう間に合いません。

そして、このサイバー戦争には、終わりがありません。AI の進化は、待ってくれません。大切なデータ、大切なお客さん、大切な仲間を、どうやって守っていくか。PHP のサイバー攻撃をきっかけに、考えてみてください。

Data is CITY PROJECT

自分たちのデジタル環境を、自分たちで理解し、守れる社会へ。

Data is CITYは、AIネイティブ時代のセキュリティを、誰もが利用できる技術とメディアの両面から支えるプロジェクトです。

1

CITYデジタル環境を可視化するオープンな技術を公開します

企業、自治体、学校、病院、店舗、家庭などのIT環境を、街の地図のように3Dで可視化します。

AIエージェントがシステムやネットワーク、データ、権限などを継続的に調査し、地図を常に最新の状態に保ちます。さらに、環境の変化やセキュリティ上の問題、潜在的な危険を発見し、知らせてくれます。

この仕組みを誰もが自由に利用できるように、CITYの共通フォーマットとソフトウェアを公開していきます。

2

Data is CITY MediaAI時代のセキュリティメディア

AI時代のサイバー攻撃と防御の最前線を追いかけ、毎日のニュース配信、専門家への取材、実験動画、ライブ番組などを展開します。

さらに、セキュリティリテラシーを身につけるオンライン授業や、攻撃と防御を疑似体験できるゲーム、参加型イベントなども企画しています。

最先端の技術や動向を知り、関心に応じて理解を深め、実践につなげる。専門家から経営者、学生、一般の利用者まで、それぞれの立場でAI時代のセキュリティを活用できるようにするメディアです。

Waiting list

Data is CITYは現在、
公開に向けて準備を進めています。

CITYの技術やメディア活動に興味のある方は、ぜひウェイティングリストにご登録ください。公開情報や今後の活動について、順次ご案内します。

メールアドレスは、Data is CITY のお知らせにだけ使います（プライバシーポリシー）。

ウェイティングリストに登録