タレスは5月14日、「2026 悪性ボットレポート：エージェント時代の悪性ボット(2026 Bad Bot Report: Bad Bots in the Agentic Age)」を発表した。
レポートでは、「AIエージェントという新しいトラフィックの登場」「人間による操作を上回る自動化された活動の存在」「デジタル経済を支えるAPIやIDシステムを狙う攻撃の急増」を浮き彫りにし、インターネットの在り方そのものが激変している状況を指摘している。その概要は以下のとおり。
■インターネットトラフィックとセキュリティの前提を変えるAI
AIはボット活動の量と性質を大きく変えつつある。2025年にはAI主導のボット攻撃が前年の12.5倍に急増し、従来の「良性」「悪性」に加え、AIエージェントという「第3のトラフィック」が登場した。AIエージェントはアプリやAPIと直接やり取りするため、正当な自動化と悪意ある自動化の判別が難しくなっている。その結果、企業は未検証のアクセスや正当な通信と見分けにくい活動を十分に把握できず、リスクを見落としたまま運用している可能性が高まっている。
■オンライン空間ではボットが人間を上回る存在に
2025年、世界のインターネットトラフィックの53％をボットが占め、そのうち40％が悪性ボットだった。一方、人間の活動は47％に低下しており、ボットが一時的な流行ではなく、あらゆるサービスで常時稼働する「当たり前の存在」へと変化していることを示している。
■APIやIDが主な標的に
APIの活用拡大に伴い、攻撃者もAPIを標的にしており、ボット攻撃の27％がAPIを狙っている。悪性ボットは認証情報や正規リクエストを使うため「正当な通信」に見えやすいが、実際には機密情報の窃取や業務フローの悪用を行う。特に金融業界は全ボット攻撃の24％、アカウント乗っ取り攻撃の46％を占め、主要な標的となっている。
■新時代のマシン主導環境
AIの普及で、インターネットは「マシン同士が主導する環境」へ移行している。ボットは単なる攻撃ツールではなく、トラフィックや事業指標に影響を与える存在となった。こうした環境でセキュリティや信頼性を保つには、自動化を高精度かつ大規模に管理する力が不可欠である。
■制御不能な自動化の拡大にどう向き合うか
ボットの識別・遮断を中心とした従来型対策では、企業が活用する自動化の増加に対応しにくくなっている。今後は可視化やポリシー適用、行動分析を組み合わせ、「正当な自動化」と「悪意ある自動化」を見極めるガバナンス型の対策が必要。AIエージェントのアクセス管理やAPI・認証基盤の防御強化も重要となる。
■日本国内における状況
2025年の日本のインターネットトラフィックは依然として人間が65％を占めるが、悪性ボットは26％と2年前の18％から急増した。悪性ボットの75％は低度なボットが占める。業界別では、ボット流入はマーケティング業界が最多（58％）、攻撃対象は小売業界（34％）、アカウント乗っ取りは金融業界（48％）が最大の標的となった。
関連リンク