WeChatゼロクリック攻撃が示すAI安全保障の新局面と米中協議

WeChatが国家基盤化した中国の脆弱性

米カリフォルニア州パロアルトのセキュリティ企業Califが公開した「WeWorm」は、実被害が確認された攻撃ではなく、修正後に公開された実証です。それでも衝撃が大きいのは、WeChatが中国で単なるメッセージアプリを超え、決済、行政手続き、企業連絡、越境コミュニティを支える生活基盤になっているためです。

Tencentの2026年第2四半期資料では、Weixinと国際版WeChatの合計月間アクティブユーザーは6月末時点で14億3,900万人に達しました。こうした巨大な信頼ネットワークに、AIが支援するゼロクリック型の攻撃開発が結びつけば、サイバー事件は企業の情報漏えいでは済まず、社会秩序と国家安全保障の問題へ跳ね上がります。

未応答通話で広がるゼロクリックの攻撃連鎖

友人リストが入口になる信頼の逆流

Califの説明によると、WeWormはWeChatの通話機能にあるVoIP処理のメモリ破壊脆弱性を突く実証ワームです。攻撃対象者は通話に応答する必要がなく、端末が鳴っている間にアカウントが乗っ取られるとされています。応答しても無音のまま攻撃は進み、拒否すればその試行は止まるものの、攻撃者は別の時間帯にかけ直せます。

重要なのは、攻撃者が対象者の友人リストにいる必要がある点です。一見すると制約に見えますが、WeChatのような濃密な実名的ネットワークでは、ここが逆に危険な導線になります。攻撃者が先に一人の知人アカウントを奪えば、そのアカウントが持つ信頼を使って次の相手へ通話できます。つまり「知らない番号からの攻撃」ではなく、「知人からの自然な着信」として拡散します。

Califは3台の端末を使い、Android端末からiPhoneへ、さらに別のAndroid端末へと連鎖する様子を示しました。攻撃が成功すると、メッセージの閲覧や送信、通話、本人になりすました操作が可能になると説明しています。決済機能には追加認証があるため直ちに資金移動まで成立するとは限りませんが、会話履歴、連絡先、本人確認に使われる関係性が奪われるだけでも被害は大きくなります。

修正済みでも残る攻撃面

この実証は、未修正の攻撃コードを世に出す形ではありませんでした。Califは2026年7月24日にTencentへ脆弱性を報告し、Tencentは8月21日にAndroid版8.0.77とiOS版8.0.76で緩和策を提供しました。Califは8月28日までにサーバー側でも全利用者向けに攻撃が緩和されたと確認し、9月8日に研究内容を公開しています。South China Morning Postの取材でも、Tencent側はサーバー側修正を展開し、実際の悪用は確認していないとの立場を示しました。

それでも「修正済みだから終わり」とは言えません。Califは技術詳細を当面公開しない方針を示し、この脆弱性をモバイルメッセージングアプリ全般に存在し得る非伝統的な攻撃面の一例と位置づけています。通話、画像処理、リンクプレビュー、通知、ミニプログラムの連携など、利用者が意識しない処理は増え続けています。ゼロクリック攻撃は、まさにその「利用者の前にあるが、利用者が操作していない領域」を狙います。

過去にも、WhatsApp通話やiMessageを悪用したゼロクリック攻撃は確認されてきました。Citizen Labは、NSO GroupのPegasusがWhatsApp通話の脆弱性やiMessageのFORCEDENTRYを使った事例を分析し、広く使われるチャットアプリが国家級の攻撃者や商用スパイウェア企業にとって魅力的な標的だと指摘してきました。WeWormの新しさは、そうした高度な攻撃開発の速度がAIでさらに短縮された点にあります。

AIが圧縮した攻撃開発と責任ある開示

攻撃開発の人件費を消す自動化

Califは、AIと協働して脆弱性を見つけ、最初のリモートコード実行の実証を約2日で作成し、ワーム化にさらに約1週間を要したと説明しています。この数字は同社の自己申告であり、外部が完全に再現したものではありません。しかし、従来なら大規模な専門チームが時間をかけて担った探索、試行、検証、実装の一部が、AIで圧縮されつつあるという方向性は他の調査とも整合します。

Anthropicの2026年9月の脅威インテリジェンス報告も、AIの悪用が「相談役」から「実行の編成役」へ移っていると分析しています。同報告は、サイバー作戦、監視、影響工作、通常兵器、生物分野、詐欺、不正なモデル蒸留に関する事例を扱い、AIが偵察、ツール作成、データ処理、侵入後の整理を高速化しているとしています。これはWeWormのような実証研究だけでなく、実運用の攻撃者にも当てはまる問題です。

NISTも、AIシステムには回避、汚染、プライバシー侵害、悪用といった攻撃類型があり、万能な防御策はないと整理しています。ここで問われるのは、AIが危険だから止めるべきかという単純な二択ではありません。攻撃者がAIを使うなら、防御側もAIを使って脆弱性発見、コード監査、異常検知、パッチ優先順位付けを高速化しなければなりません。

生活アプリから重要基盤への転化

WeChatの特殊性は、攻撃対象が「アプリ利用者」ではなく「社会の接続関係」になる点です。S&P Globalの中国スーパーアプリ調査では、WeChatとAlipayが決済やミニプログラム利用の中心であり、WeChat PayとAlipayが中国のモバイル決済を支配的に担っている構図が示されています。メッセージ、送金、予約、行政サービス、企業連絡が同じアプリ内に集まるほど、アカウントの乗っ取りは本人の会話だけでなく、生活上の権限を奪う行為になります。

Tencentの第2四半期資料も、Weixinエコシステム内の広告、ミニゲーム、ミニショップ、商業決済、資産管理、消費者ローン、クラウドサービスが収益を支えていることを示しています。同社はAI関連の計算資源調達にも大きく投資しており、Weixin AI施策やWorkBuddy、CodeBuddyなどの需要に備えていると説明しています。つまり、Tencent自身もAI化を進める側であり、その主要プラットフォームがAI支援攻撃の実証対象になった構図です。

中国国内には、ネットワーク製品の脆弱性発見、報告、修補、公開を統制する制度があります。2021年の「ネットワーク製品安全脆弱性管理規定」は、製品提供者に速やかな検証と修補を求め、重大情報の公開にも制約を置いています。今回のような越境の責任ある開示は、技術的には望ましい協力であっても、米中対立の中では法制度、企業評判、国家安全保障上の疑念が重なりやすい領域です。

米中AI安全協議を迫る相互脆弱性

WeWormが示した核心は、中国が一方的に脆弱だという話ではありません。米国企業のAI、米国のセキュリティ研究者、中国の巨大アプリ、中国の利用者、そして各国の規制当局が同じリスク空間に置かれているという事実です。Googleの脅威分析チームは、商用監視ベンダーがGoogle製品やAndroidエコシステムを狙う既知のゼロデイ悪用の大きな割合を占めてきたと指摘しています。攻撃能力は国家だけの独占物ではなくなり、民間企業、請負業者、犯罪集団へ拡散しています。

Anthropicの報告では、中国関連とされる利用者が、ウイグル系ディアスポラや宗教団体の監視、反魚雷兵器システムの仕様作成、不正なモデル蒸留などにClaudeを使おうとした事例も記載されました。中国側は米国企業や米政府の主張に政治的意図を見る傾向があり、米国側は中国の軍民融合や監視国家化を警戒します。この不信の上に、AIが攻撃開発の速度を上げる現実が乗っています。

そのため、米中AI安全協議の焦点は輸出規制や企業制裁だけでは足りません。Reutersは、米中両国が2026年9月中旬にAI安全リスクをめぐる協議を準備していると報じ、AI主導のサイバー攻撃を監視する協力や、AI企業同士の情報共有が議題になり得ると伝えました。2024年5月にはジュネーブで米中初の政府間AI対話が開かれ、双方はAIリスクとグローバルガバナンスについて意見交換しています。

政策提言の方向性も少しずつ収れんしています。Brookingsは、米中対話を輸出管理交渉ではなく、サイバー脅威、兵器悪用、信頼性といった共有リスクに絞るべきだと提案しています。Center for American Progressは、緊急時にAI安全上の懸念を共有する「AI版ホットライン」や、重大な安全脅威の定義づくりを提案しました。中国の「グローバルAIガバナンス・イニシアチブ」も、情報交換、リスク予防、人間による制御、軍事利用への慎重姿勢を掲げています。

米国側も、AIを国家安全保障に取り込む方針と防御強化を同時に進めています。ホワイトハウスの2026年6月のAI関連方針は、連邦政府や重要インフラ運営者がAI対応のサイバー防御ツールへアクセスし、脆弱性を大規模に特定・修復する枠組みを掲げました。競争と安全を同時に追う構造は矛盾を抱えますが、WeWormのような事例は、最低限の危機管理チャンネルを持たないことの方が危険であると示しています。

利用者と企業が確認すべき防御線

今回の実証攻撃は、Tencentの修正により既知の経路では防がれていると説明されています。利用者がまず確認すべきなのは、WeChatとOSを最新状態に保つこと、見知らぬ端末ログインやアカウント復旧設定を点検すること、決済や企業アカウントに追加認証を設定することです。通話を受けなければ安全という理解は、ゼロクリック攻撃の時代には通用しません。

企業にとっては、WeChatを単なる広報や営業連絡の道具として扱わない姿勢が必要です。顧客対応、決済、社内連絡、取引先認証に使っている場合、アカウント乗っ取り時の連絡網、権限停止、代替チャネル、ログ保全を事前に決めておくべきです。重要人物の連絡先が一つのアプリに集中している組織ほど、信頼関係そのものが攻撃面になります。

政策面では、米中対立の中でも脆弱性情報の責任ある共有を止めないことが防御の土台です。AIが攻撃開発を短くするなら、外交も企業対応も同じ速度に近づく必要があります。WeWormは実害を出した事件ではなく、次に起こり得る危機を先に見せた警報です。読者が注視すべきなのは、Tencentの追加説明、米中AI安全協議の実施可否、そして主要メッセージアプリが通話や通知の攻撃面をどう縮小するかです。

参考資料:

• WeWorm | Calif
• US firm used AI to hijack WeChat account, spurring call for cyber cooperation with China | South China Morning Post
• Detecting and countering misuse of AI: September 2026 | Anthropic
• Tencent Announces 2026 Second Quarter Results | PR Newswire
• Exclusive-US, China gear up for mid-September AI safety dialogue | Reuters via Investing.com
• The U.S. and China Must Explore Pacing the Frontier During September AI Dialogue | Center for American Progress
• How the US and China can cooperate to reduce urgent AI risks | Brookings
• Fact Sheet: President Donald J. Trump Promotes Advanced Artificial Intelligence Innovation and Security | The White House
• China, U.S. hold first meeting of inter-governmental dialogue on AI | State Council of the PRC
• Global AI Governance Initiative | Office of the PRC
• NIST Identifies Types of Cyberattacks That Manipulate Behavior of AI Systems | NIST
• Buying Spying: How the commercial surveillance industry works | Google TAG
• FORCEDENTRY: NSO Group iMessage Zero-Click Exploit Captured in the Wild | Citizen Lab
• 网络产品安全漏洞管理规定 | China IT Security Evaluation Center
• Mobile payments, mini-programs are key features of Chinese super apps | S&P Global