以前のスクリプトキディ
スクリプトキディ（script kiddie）は、他人が作った攻撃ツールやスクリプトを、仕組みを理解しないまま使う人たちのことです。1990年代から使われている、なかなか年季の入った蔑称です。
やっていることはだいたい決まっていました。
- 公開されているエクスプロイトや攻撃ツールを拾ってきて実行する
- ポートスキャンや脆弱性スキャナを手当たり次第に撃つ
- DoSツールでサイトを落とす
- Webサイトを改ざんして、自分のハンドルネームを貼り付ける
動機は「お金」より「目立ちたい」が大半です。仲間内での自慢、掲示板での戦果報告、「俺、ハッカー」という自己紹介。要するに承認欲求です。
ただし、彼らには弱点がありました。ツールが用意していることしかできない、という点です。
使うツールは世の中に出回っているものなので、シグネチャもとっくに対策済み。パッチを当ててWAFやIDSを置いておけば、ほとんどは門前払いできました。うまく動かなければそこで終わりです。自分で直す力がないので。
最近のAIキディ
AIキディは、生成AIやチャットボットを使って、プログラミングの知識なしに攻撃を仕掛ける人たちのことです。CyberArkのホワイトハッカー、Len Noe氏が2024年にポッドキャストでこの呼び方を使っています。ドイツでも「KI-Kiddies」という表記で記事になっています。
変わったのは、「拾ってくる」が「頼む」になったことです。
- ツールを探す代わりに、AIに攻撃コードを書かせる
- AIの安全対策を「ペネトレーションの練習です」などのプロンプトですり抜けようとする
- フィッシングメールの文面を自然な日本語で作らせる
- 既存コードを書き換えさせて、シグネチャ検知を逃れようとする
スクリプトキディは「出来合いの服」しか着られませんでした。AIキディは、とりあえずオーダーメイドが頼めるようになった、という感じです。ここは素直に厄介です。
ただ、中身はあまり変わっていません。
AIが出したコードがなぜ動くのか、なぜ動かないのか、本人はわかっていません。動かなければまたAIに聞く。それでもだめなら諦める。対象の環境を調べる力も、狙いどころを考える力も、結局はその人次第です。
そして動機も昔と同じです。SNSで「AI使ってハックした」と書きたい。掲示板がSNSに変わっただけです。
AIキディはこの先、何になるのか
技術好きを表す言葉はいくつかあります。
- Nerd（ナード）：勉強や理屈にのめり込むタイプ
- Geek（ギーク）：技術を面白がって深く知っている人
- Hacker（ハッカー）：本来は、仕組みを深く理解して巧みに使いこなす人への称号
- Cracker（クラッカー）：技術を悪用して侵入や破壊をする人。世間で「ハッカー」と呼ばれがちなのは実はこちら
- オタク：特定の対象への異常なこだわり
では、AIキディはこの先どれかになるのか。
大半はどれにもならず、飽きてやめていくと思います。動機が「目立ちたい」なので、目立てなければ続ける理由がありません。
ただ、一部は上に行きます。分かれ目は、AIに聞く内容が変わるかどうかです。
- 「動くようにして」とだけ聞き続ける人 → AIキディのまま
- 「なんでこれで動くの？」と聞き始めた人 → Geekの入口
昔もスクリプトキディから入って、一流のセキュリティ屋になった人は普通にいます。ツールが動かなくて悔しくて、調べ始めたのがきっかけ、というパターンです。
AIはここで両刃の剣です。理解しなくても動くものが手に入るので、上に行く動機が生まれにくい。一方で、聞けば何でも解説してくれる家庭教師でもあるので、その気になった人の成長は昔より速いはずです。
もう一つ、嫌な方向もあります。承認欲求ではなくお金に目覚めて、ランサムウェアのアフィリエイトのような本物の犯罪側に流れるルートです。これはNerdでもGeekでもありません。ハッカーたちが自分たちと区別するために使ってきた言葉で言えばCracker（クラッカー）、つまりただの犯罪者です。
セキュリティエンジニアはどれなのか
目指すべきは本来の意味のHackerです。仕組みを深く理解して、作った人も気づいていない使い方や穴を見つけられる人のことです。
ただ実際の仕事では、全部が混ざっています。
| 側面 | セキュリティの仕事での出方 |
|---|---|
| Hacker | 脆弱性を見つける、攻撃手法を理解して再現する |
| Geek | 新しい技術やツールを面白がって触る |
| Nerd | RFCや仕様書、CVEの詳細を読み込む |
| オタク | アキバ系 電子部品系 |
職種によって比重も変わります。ペネトレーションテスターや脆弱性研究者はHacker寄り。SOCやログ分析はオタク気質が効きます。規程や監査まわりはNerd寄りです。
AIキディが「なぜ」を持てば、Hackerへの道が開けます。セキュリティエンジニアは、その道を歩き続けて、さらに追及し続けた人。
技術オタクでなくてもコンサル系のセキュリティエンジニアは、技術を知らない人に説明すること、顧客や経営層に「なぜ危ないのか」を伝える仕事です。
結論
スクリプトキディもAIキディも、やっていることの本質は同じです。道具が新しくなっただけ。
そしてその正体は、承認欲求もりもりの中二病です。
こういう人たちが一番喜ぶのは、反応してもらえることです。騒いでもらえる、話題にしてもらえる、「すごい攻撃者」として扱ってもらえる。それが一番の報酬になってしまいます。
Xなどで発信していても、反応せずにそっとしといてあげましょう。