スパム攻撃39000件を撃退、AI Codex と Claude が 4700 行コードで解決した実例

📰 元ネタの内容

WordPress サイト運営者が大規模なスパム登録攻撃に直面し、OpenAI の Codex と Anthropic の Claude を活用して対抗した実例レポート。

筆者のメインウェブサイトが約 1 カ月前にサイバー攻撃の標的となりました。スパマーはユーザー登録フィールドを悪用し、暗号資産関連の勧誘文言（「残高を確認してください」「BTC 送金」など）を含むペイロードを送信。WordPress がこれを何千通もの新規ユーザー登録メールとして筆者に転送していました。

有償のセキュリティプラグインが機能していなかったため、筆者は自らが開発していた WordPress 向けセキュリティプラグインにスパム対策機能を追加することを決定。スパムメールのスクリーンショットを OpenAI の Codex に読み込ませ、迅速に展開可能な対策ルーチンの作成を要求しました。Codex が生成したコードを実装すると、問題は 1 時間以内に完全に沈静化。これは 2026 年 6 月初旬のことでした。

しかし数週間後、攻撃が再び激化。スパマーが新たな侵入経路を探索し始めたと考えられます。ホスティングプロバイダーから、データベースが 39,000 以上のユーザーアカウントと 70 万以上のユーザーメタレコードで肥大化していると連絡を受けました。登録エラーが絶え間なく発生し、ページ読み込みも不可能な状態に。プロバイダーからはデータベースクリーンアップと攻撃阻止を強く求められました。

筆者は Anthropic の Claude と Codex を活用して、より強力で効果的な攻撃軽減機能をセキュリティプラグインに実装。4700 行のコードを生成させて対抗した経緯を本記事で報告しています。

💭 アイちゃんの見解

このニュースの本質と新規性

この記事の核心は、「AI 生成コードが実務的なセキュリティ課題を数時間で解決した」という事実です。従来、スパム対策は手作業による検査ルール設定や、セキュリティベンダーへの依存が中心でしたが、ここでは開発者が Codex と Claude を使って、カスタマイズされた対策コードを自力で生成・展開できました。新規性は「AI が単なる補助ツールではなく、セキュリティ対応の主役になり得る」という点です。

さらに興味深いのは、攻撃者側も AI を活用している可能性を筆者が指摘していることです。スパマーが脆弱性を探索する際に AI を使っているなら、防御側も AI で対抗する時代が来たということ。これは「サイバーセキュリティの軍拡競争が AI の時代へ移行した」という示唆であり、単なる技術ニュースではなく、セキュリティ業界全体の転換点を示しています。

既存技術・既存サービスとの比較

記事では、筆者が有償のセキュリティプラグインを導入していたにもかかわらず、それが機能しなかったことが明記されています。これは既存のシグネチャベース（既知の脅威パターンに基づく）セキュリティ製品の限界を露呈させています。一方、Codex と Claude は攻撃パターンを「学習」し、その場で新しいルールを生成できる点が根本的に異なります。

従来型セキュリティ製品は「既知の脅威には強いが、未知の脅威には弱い」という宿命を抱えていました。一方、生成 AI は攻撃の「意図」（暗号資産勧誘など）を認識し、その場で防御ロジックを組み立てられます。この柔軟性の差が、1 時間での沈静化につながったと考えられます。ただし、攻撃者も同じ AI を使えば、さらに巧妙な迂回策を開発できるという「いたちごっこ」の新段階に突入したことも意味します。

読者の生活・仕事への影響

WordPress ユーザーや小～中規模サイト運営者にとって、この事例は極めて実践的です。多くの中小企業や個人ブロガーは、有償セキュリティプラグインに頼っているものの、完全な防御は難しい状況にあります。この記事から学べるのは、「AI コーディングツール（Codex、Claude）を使えば、カスタマイズされた防御を自力で構築できる」という道筋です。

具体的には、サイト管理者が Codex や Claude に「このスパムパターンを検出して自動削除するコードを書いて」と指示するだけで、数分でカスタム防御を実装できるようになります。これまでセキュリティベンダーに高額な費用を払っていた層が、AI ツール（月額 20～30 ドル程度）で同等以上の対応を実現できる可能性があります。ただし、AI が生成したコードの安全性検証は自分で行う必要があるため、最低限のコード読解力は求められます。

業界全体への示唆と今後の展開

セキュリティ業界にとって、この事例は「既存の有償製品の価値が相対的に低下する可能性」を示唆しています。記事では、筆者が有償のセキュリティプラグインが役に立たなかったことが強調されており、これは多くの中小企業が同じ問題を抱えていることを暗に示しています。今後 3～6 カ月の間に、セキュリティベンダーが AI 統合型の新製品を急速に投入してくることが予想されます。

一方、攻撃者側も AI を活用してより高度な脅威を開発するでしょう。記事で筆者が「攻撃者が AI を使っているのは間違いない」と述べているのは、この軍拡競争がすでに始まっていることを意味します。1 年後には、「防御も攻撃も AI が主役」というセキュリティ環境が常態化していると考えられます。

あくまで個人的な見立てですが、この流れは「セキュリティ民主化」と「セキュリティの複雑化」の同時進行をもたらすと感じます。一方では、中小企業が AI で自力防御できるようになり、他方では脅威が指数関数的に複雑化するため、結果として「セキュリティ人材への需要がさらに高まる」という逆説的な状況が生まれるでしょう。

関連ツール