目次
AI が現代のアプリケーションセキュリティの前提を変えつつあることは、もはや明らかです。
これまで手作業に依存していた攻撃手法は、今では自動化され、調整され、はるかに大規模に実行されるようになっています。
問題はスピードだけではありません。AI は攻撃者に、防御を試し、挙動を最適化し、悪意ある活動を通常のトラフィックパターンに紛れ込ませるための新たな手段も与えています。
この変化は、Web アプリケーションと API セキュリティを大きく変えています。AI によって、より動的な攻撃活動のハードルが下がる中、企業は従来のセキュリティ前提では対応しきれないほど速く変化する脅威環境に直面しています。
当社の最新版 State of WAAP Report が公開されました。本レポートは、CDNetworks セキュリティプラットフォームの観測データに基づき、AI が Web アプリケーションセキュリティ、API 保護、Bot 管理、DDoS 防御にどのような影響を与えているのかを分析しています。また、脅威環境が進化し続ける中で、レジリエンスを維持する必要がある企業にとって、これらのトレンドが何を意味するのかについても考察しています。
レポートの主な調査結果
本レポートでは、現在の WAAP 環境を形づくるいくつかのトレンドを取り上げています。
-
DDoS 攻撃は、容量とレジリエンスの両方を試すものになっています。 2025 年には、1 Tbps を超える DDoS 攻撃が 329 件確認され、最大攻撃ピークは 1.55 Tbps に達しました。
-
L7 DDoS 攻撃は APAC に集中しています。 観測された L7 DDoS 攻撃の 67% を同地域が占めました。
-
API は、AI 駆動型の自動化攻撃の主要な標的になっています。 CDNetworks は、AI 駆動型 Bot アクティビティの 43.5% が API を直接標的にしていることを観測しました。
-
悪性 Bot が自動化トラフィックの大半を占めています。 観測された Bot トラフィックの 74% が悪性 Bot でした。
-
金融サービスは、API 攻撃における高価値の標的であり続けています。 CDNetworks セキュリティプラットフォームが観測した API 攻撃の 23.8% を同業界が占めました。
WAAP 環境を変えるトレンド
1. AI が自動化攻撃を産業化しています。
AI は、高度な攻撃キャンペーンを実行するために必要な時間、コスト、専門知識のハードルを下げています。自動化された脅威は、より適応的で、文脈を理解するようになり、正規の活動との見分けがますます難しくなっています。
2. API の悪用が、ビジネスロジック攻撃の主要な経路になっています。
API は今やデジタルビジネスの中核であり、高価値の攻撃対象となっています。2025 年、CDNetworks セキュリティプラットフォームは、月平均 150 億件を超える悪意ある API リクエストをブロックしました。多くの攻撃は、もはや明らかな脆弱性の悪用に依存していません。代わりに、ログイン、チェックアウト、検索、登録、決済といった正規のワークフローを悪用しています。
3. AI Bot トラフィックが新たなガバナンス課題を生んでいます。
CDNetworks は、2025 年に 1 日平均 164 万件の AI Bot リクエストを観測しました。AI Bot が企業のインターネットトラフィックの中でより目立つ存在になるにつれ、企業には、単純な許可またはブロックではなく、意図や文脈に基づいたより細かな制御が求められています。
4. 多層型 DDoS 攻撃が、防御レジリエンスの基準を引き上げています。
攻撃者は、ネットワーク層、トランスポート層、アプリケーション層の手法を組み合わせ、混乱の影響を拡大しています。CDNetworks が 2025 年に観測したある顧客事例では、複数日にわたる継続的な多層型 DDoS 攻撃が発生し、L3/L4 攻撃トラフィックのピークは 1.4 Tbps、Layer 7 トラフィックは 770,000 qps に達しました。これは、レジリエンスが単なる容量の問題ではなく、WAAP 全体に関わる重要な優先事項になっていることを示しています。
5. APAC 企業は、アプリケーション層攻撃の集中した圧力に直面しています。
2025 年、アプリケーション層攻撃は、デジタルサービス、モバイルアプリケーション、API 主導のビジネスモデルが広く普及している APAC の企業に対して、引き続き集中的な圧力をかけています。CDNetworks のプラットフォームデータによると、2025 年に観測された Layer 7 DDoS アクティビティの 67.45% を APAC が占めました。
セキュリティチームが次に検討すべきこと
本レポートでは、攻撃がより自動化され、適応的になり、ビジネス成果と密接に結びつく中で、セキュリティリーダーが WAAP の優先事項をどのように見直すべきかについても示しています。
主な優先事項は以下の通りです。
- 収益に直結する API ワークフローを保護する
- APAC 市場における事業継続性と API レジリエンスを管理する
- 自動化トラフィックの急増に備え、運用を保護する
- 信頼された ID の侵害による露出リスクを低減する
- AI 駆動型攻撃による運用コストを抑制する
- ビジネス影響を踏まえて AI Bot とのインタラクションを管理する
- AI 対応アプリケーションとエージェント型ワークフローを保護する
State of WAAP Report 2025 の完全版をダウンロード
CDNetworks State of WAAP Report 2025 は、Web アプリケーション、API、Bot、DDoS 攻撃に影響を与えるトレンドを詳細に分析し、最新の WAAP 戦略を強化するための実践的な推奨事項を提示しています。
レポート完全版をダウンロードして、すべての調査結果を確認し、脅威環境がどのように進化し続けているのかをご覧ください。
よくある質問
1. CDNetworks State of WAAP Report とは何ですか？
CDNetworks State of WAAP Report は、CDNetworks セキュリティプラットフォームのデータと観測結果に基づき、Web アプリケーション、API、Bot、DDoS 攻撃を取り巻く脅威環境の変化を分析するレポートです。
2. 2025 年の Web アプリケーションと API の脅威環境では何が変わりましたか？
2025 年、攻撃者はより自動化され、適応的になりました。正規に見えるトラフィック、信頼された ID、API ワークフローを利用して、業務の中断、不正行為、データ露出、サービス品質の低下を引き起こしています。
3. AI 駆動型 Bot が企業にとって懸念事項になっているのはなぜですか？
AI 駆動型 Bot は、価値あるコンテンツのスクレイピング、インフラコストの増加、従来の制御では対応しにくい規模でのデジタル資産への自動アクセスを通じて、企業にリスクをもたらします。
4. AI は Web アプリケーションや API へのサイバー攻撃をどのように変えていますか？
AI は、適応的な攻撃キャンペーンを構築するために必要な時間、コスト、専門知識のハードルを下げ、攻撃パターンの変化、防御の探索、正規のデジタル行動の模倣を容易にしています。
5. CDNetworks State of WAAP Report 2025 は誰が読むべきですか？
セキュリティリーダー、CISO、IT チーム、ビジネス意思決定者におすすめのレポートです。AI 時代において、Web、API、Bot、DDoS の脅威がどのように進化しているのかを把握するのに役立ちます。