「検索1位」でもクリックされない時代へ。アカマイが明かすGEOとAIボット対策、ゲーム業界にも迫る変化とは

アカマイ・テクノロジーズ（Akamai）は9月3日、EC業界におけるAI活用をテーマにしたメディアブリーフィングを開催しました。登壇したのはエバンジェリストでシニア・プロダクト・マーケティング・マネージャーの中西一博氏。講演のタイトルは「エージェンティックコマース時代のGEO自動運用とECサイトのセキュリティ動向」。生成AIがECの集客と防御をどう変えつつあるのかを解説しました。

今回のテーマはEC全般におよびますが、ゲーム業界にとっても他人事ではありません。自社ECで扱うハードや限定版やグッズは、転売ボット（bot）の標的であり、アカウントや課金を支えるAPIは攻撃者の入り口になります。そして「AIに自社タイトルがどう見えているか」というブランディングの問いは、これからのゲームマーケティングの中核になりそうです。

本稿では、ブリーフィングの内容をゲームビジネスの視点も交えて整理していきます。

検索結果の“青いリンク”はもうクリックされない―SEOからGEOへ

中西氏がまず示したのは、エージェンティックコマース（Agentic Commerce）という潮流です。AIエージェントがユーザーに代わって商品や在庫の情報を閲覧し、比較し、取引まで行う。検索して比較する主体が人間からAIに移るため、企業やブランドには「人に選ばれる」だけでなく「AIに選ばれる」ための設計が求められます。

背景にあるのがゼロクリック検索の急増です。ブリーフィング資料では、SEO・AI検索分析ツールを手掛けるAhrefsの2026年6月調査が引用されました。Googleの検索結果にAIによる概要（AI Overviews）が表示されると、日本では検索1位のページでもクリック率が62.7%下がるという内容です。半年前の38%減から一気に悪化しています。中西氏は「6割以上がゼロクリックになっている数字を目の前にすると、多くのブランドにとって指をくわえて座視していられる状況ではない」と語りました。

このため従来のSEO（Search Engine Optimization：検索エンジン最適化）に加え、GEO（Generative Engine Optimization：生成エンジン最適化）が必要となっていきます。両者の違いを中西氏は次のように整理しました。

GEOで重視される要素として、中西氏は「構造」「根拠」「権威」「鮮度」の4本柱を挙げました。冒頭200字で要約を置く、見出しはユーザーがAIに問いかける疑問形にする、段落は2～3文で短く切る、比較や評価軸は表にする、独自の一次データや専門家のコメントを入れる、といった具体策です。

ブランド名と製品名をAIが混同しないようJSON-LDで構造化すること、WikipediaやYouTube、主要メディアでの自社の扱われ方と自社発信の一貫性を保つことも重要だとしています。鮮度の面では「公開・更新から90日以内のコンテンツは、それ以降と比べて引用率が3倍になる」というデータを示しました。

質疑応答では「GEOはSEOと重なるのではないか」という質問も出ましたが、中西氏は明快に「本当に評価軸が違う」と答えました。SEOではタグをフルに活用してどれだけ検索エンジンにつたわるマークアップをするかも重要視されていました、GEOではそれが邪魔になります。これらは真逆となってくるので、人間向けのページは残しつつAIに読み込みやすい形式を別建てで持っておく必要があるしてきました。

AIは1ページ1万トークン程度しか読まない

GEOが従来のWeb制作と噛み合わない技術的な理由として、中西氏は「トークン」の制約を挙げました。人間向けに作られたページは、HTMLタグやJavaScript、CSSを含めると数万～10万トークンに達します。一方で、AIサービスがクローラーで読み取るのは1ページあたり1万トークン程度に留まるといいます。GPUコストを抑えるため、それ以上は読まずに捨てられてしまうのです。

人間向けのコンテンツをベースにしていると、捨てられる部分にこそ、本当に引用してもらいたい重要なデータが入っていて、それが無視されている可能性があるわけです。

中西氏は、ここで取れる企業の選択肢は3つだと言います。「何もしない」、「AI向けのページを手作業で別に作る」、あるいは「自動化する」。手作業は膨大なページ数を考えると現実的に続かないとして、同社が提案するのが「AI Brand Presence」です。これは同社が2026年5月にグローバルで発表したサービスです。日本では9月中に主要な既存顧客への先行提供を始め、10～12月に正式提供を予定しています。

このサービスでは、まず同社のボット検知が、AIサーチクローラー、AIトレーニングクローラー、AIエージェント、AIフェッチャーといったAIボットを識別。AIボットに対してだけ、GEO専用の生成AIが元ページから自動生成した1,000トークン程度のAI向けページを配信していきます。人間の訪問者には元のページがそのまま届くため、既存サイトの改修は不要です。生成されたページには、ブランド名と製品名の明示、冒頭200字の要約、疑問形の見出し、2～3文ごとの段落分けといったGEOの作法が自動で反映されています。これはタブやドロップダウンに折りたたまれたFAQなども展開して含めるといいます。

効果として示されたのは、同社自身が自社サイトに適用したケースです。生成AIボットからの参照トラフィックが41%増、AIの回答での引用が84%増となりました。AIの回答内でどれだけ言及・推奨されたかを示す「ブランドプレゼンス」は364%向上し、競合サイトに対するプレゼンスも133%上回ったとしています。

モニタリング機能では、GEOの主要KPIとして「引用率」「言及頻度」「表示位置」「センチメント」の4指標を追います。センチメントは競合と比べて肯定的に推奨されているかを示す指標のこと。トピックやペルソナ、AIモデル、地域で絞り込めます。AIがコンテンツを読めなくしているエラーの検知、改善点のリコメンド、競合がどのプラットフォームでどう引用されているかの分析も備えていると言います。

AIボットの48%はコマースへ、ゲームサイトは1%

後半は同社の観測データに基づく実態です。同社は、2026年にインターネットの現状（SOTI）レポート「エージェント型ストアフロントのセキュリティ確保：コマース業界を狙う攻撃」を公開しています。同レポートによると、2025年7～12月に同社が分類したAIボットのアクセスは、全業種のうち48%がコマース業界に集中していました。これは2位のメディア（13%）を大きく引き離す結果です。

コマースには量販店のほか航空会社、ホテル、プレイガイド、劇場、テーマパークまでが含まれます。商品やコンテンツの量が多く更新も頻繁で、発売やイベントに合わせてアクセスが集中することが理由だと中西氏は分析しました。

そしてこの中でゲーム業界は1%と、上位10業種中で最下位となっています。これはゲームの購買がSteamやコンソールのストアに集約され、パブリッシャーの自社サイトがAIの情報源として薄いことの表れでしょう。裏を返せば、AIが「おすすめのゲーム」を答えるときに参照しているのはストアやゲームメディア、攻略サイトであり、公式情報がそこでどう扱われているかを把握しきっているゲーム会社は多くないはずです。

コマースサイトにアクセスするAIボットのベンダー別では、OpenAIが37%で最多、ByteDanceが28%、Anthropicが18%、Metaが14%、Perplexityが1%でした。中西氏は「この順位は観測時期によってかなり変わるので、あくまで参考レベル」と補足しています。

用途別では、AIモデルの学習用データを集めるトレーニングクローラーが71.0%を占めました。AIアシスタントが回答のために追加情報を取りに来るAIフェッチャーが14.8%、生成AI検索エンジン向けのサーチクローラーが13.6%と続きます。AIエージェントは0.2%に過ぎません。

ただし中西氏は、この比率は今後大きく変わると見ています。トレーニングクローラーは一度取れば済む一方、フェッチャーはユーザーの質問のたびに追加情報を取りに来るため、サービスの利用が広がるほど増えるからです。企業が自社でローカルLLMを構築し、自社のAIから外部の情報を取りに行く動きも加わります。そして「AIエージェントはブレイク寸前」であり、2025年12月までのデータである0.2%は、今年末には大きく変わる可能性が高いと語りました。

企業側の対応にも業種の特徴が出ています。コマース業種の顧客は、AIボットの90%以上を「監視」のみに設定し、残りの4分の3を「アクセス許可」にしています。顧客体験を阻害することを恐れるあまり、スクレイピングのリスクを過度に許容してしまう傾向が顕著だと中西氏は指摘しました。

robots.txtは効かない――Perplexity訴訟とヘッドレスブラウザ

AIボットの制御が難しい理由として、中西氏はAIベンダー側の「回避」を挙げました。2025年8月には読売新聞、朝日新聞、日本経済新聞が相次いで米Perplexityを提訴し、各社約22億円の損害賠償を求めています。各社はrobots.txtで利用拒否を示した後も、同社からのアクセスが続いていたとしています。

アカマイ自身の観測でも、Perplexityが所有するネットワークからのボットアクセスをブロックすると、直後から同じボットがAWSなどのパブリッククラウド経由で来るようになったといいます。送信元IPで止めても別のネットワークから来る、いたちごっこです。

AIベンダーも必死ですから、競合に勝つためには大量の情報を取得しなくてはいけない。ネット上の紳士協定を無視した、仁義なき情報収集合戦がこれらに関係してくる可能性が高いと言えます。

技術面で近年もっとも大きなインパクトがあったのが、Chromeなど主要ブラウザのヘッドレスモードの進化だと中西氏は言います。プログラムがブラウザを操作し人間がアクセスしているかのように振る舞えるため、従来のボット検知をすり抜けてしまいます。同社が高度なスクレイパーに悩む、あるECサイトの1週間分のアクセスを分析した結果、人間によるアクセスは49.3%、検索エンジンやSEOツールなどの良性ボットは14.6%、悪性のスクレイパーは27.5%となりました。悪性の内訳は、高度なスクリプトによるボットが47.6%、ヘッドレスブラウザーによるものが15.5%。このふたつを合わせた63%は機械学習を使ったステートフルな検知でしか見つけられなかったといいます。

コマース業界全体では、ブラウザーを偽装する高度なボットの活動が2025年4月に月間7,500億件を超えてピークに達しました。中西氏はこのピークを特異な兆候としつつ、ピーク以外の時期でも月間2,000億件前後で推移しており、継続的な影響は無視できないと述べています。

限定モデルの発売日にECが数日止まる――カシオとエアラインの事例

高度なスクレイパーはどこに現れるのかということには、中西氏は「転売による換金性の高いプレミアム商品を扱うECサイトと、世界中のエアラインの座席予約サイト」と明言しました。これはゲーム機や限定版、コラボグッズを自社ECで扱うゲーム会社にも、そのまま当てはまる構図です。

事例として紹介されたのがカシオ計算機。人気モデルの発売日にスクレイピングボットのアクセスが集中し、直営ECサイトが数日間正常に利用できなくなり、影響がグローバルのECサイト全体に波及しました。これを受け、アカマイのBot Manager Premierに加えてContent Protectorを導入したところ、月間4,000万件の転売ボットのリクエストを遮断でき、人気商品の再販時もサイトを安定させて完売に至ったとしています。カシオ側のコメントとして、Bot Manager Premierはログインが必要なページでのボット検知を得意とするのに対し、製品ページの表示を繰り返すだけのコンテンツスクレイピングにはContent Protectorが特に有効だったと述べています。

国内エアラインの事例はより深刻です。座席の予約開始に合わせて転売業者のスクレイパーが空席を仮予約で埋め、コンビニ決済などで支払いを保留したまま転売を試み、売れなければ決済期限内にノーペナルティでキャンセルする。結果として航空会社は空席の多い状態で飛ばすことになります。

しかし対策導入後は1便あたり数十件あった不正予約がほぼゼロになり、コールセンターでのキャンセル対応の手間も消えました。中西氏は「不正予約のせいで立てられなくなっていた収益予測が立つようになり、経営層から『やっとまともな収支計画が出せる』と高く評価された」と紹介しました。

AIエージェントの決済にどう備えるか

エージェンティックコマースの3本目の柱が、AIエージェントによる決済への対応です。中西氏はVisaが設計した「Trusted Agent Protocol（TAP）」を紹介しました。AIエージェントに旅行の予約を頼んだ場合などに、購買の正当性を証明するための枠組みです。Web Bot Authを使ってエージェントが暗号的に自身を認証し、誰が使い、どの操作を実行する権限があるかを加盟店に通知します。Visa以外のカードでも使える設計だといいます。

アカマイは2025年12月にVisaとの提携を発表しています。TAPにより「AIエージェントの背後に正規の人間がいるか」をより高い精度で判定していきます。ここでは不正なリクエストのブロックや、多要素認証のように人間が必ず介在するアクションを挟むことも可能です。

ゲーム業界は「レイヤー7 DDoS攻撃」で2位、「Web・API攻撃」で3位

後半はAIボット以外の攻撃動向です。ここではゲーム業界の名前が繰り返し上位に登場します。

同社が2024～2025年の2年間に検知したWebアプリケーション攻撃とAPI攻撃の件数は、コマースが全業種で最多でした。次いで金融サービス、そして3位がゲームです。ゲームはAPIを狙う攻撃の割合もコマースに次いで高く、資料のグラフからは攻撃の3割弱がAPIに向いていたと読み取れます。2025年のレイヤー7 DDoS攻撃（HTTP/HTTPSのWebアクセスを偽装したDDoS）でも、コマースに次ぐ2位がゲームでした。コマースへのレイヤー7 DDoSは31%がAPIエンドポイントを標的にしており、小売が84%を占めています。

中西氏が「飛び抜けている」と強調したのがAPIを狙う攻撃の比率です。コマース業界でAPIの利用が加速し、攻撃者が初期侵入経路としてAPIを狙う傾向が明らかになっているといいます。グローバルのコマース企業の77.7%がAPIを利用していると回答する一方、「機密情報を取り扱うAPIを正確に把握している」のはわずか22.3%というギャップも示されました。

ホームページは上手に保護しているが、お客様の囲い込みのため、ビジネスの命運をかけてリリースしたアプリのAPIは実は保護していない。このように後回しになっているケースは少なくありません。

フロンティアAIが「個社のAPIの穴」を見つける時代

中西氏が「喫緊の課題」と位置づけたのが、フロンティアAIの登場によるリスクの変化です。会社ごとに独自開発されたAPIには未知の脆弱性が潜んでおり、それをAIが発見してしまうリスクが跳ね上がっているといいます。WAFは既知のパターンに基づく検知ルールを事前に作る仕組みのため、個社ごとに異なる未知の欠陥には対応できません。

金融庁と日本銀行は2026年5月22日、フロンティアAIによる脅威の変化を踏まえた短期的な対応を金融機関に要請しています。中西氏は「金融が最優先なのは当然だが、APIの利用比率や攻撃比率を見ればコマース業界にとっても他人事ではない」と述べました。

実際のインシデントも紹介されました。国内では「快活CLUB」を運営する快活フロンティアの公式アプリのサーバーに、724万回以上の不正な指令が送られました。機能の一部停止や会員情報の窃取が起きたこの事件では、2026年7月に高校生を含むグループが逮捕されています。脆弱性を見つけたのはその高校生自身で、それを悪用するプログラムの作成にChatGPTを使ったと報じられました。

同じグループは動画配信サービス「バンダイチャンネル」にも攻撃を仕掛け、約4万6,800アカウントを不正に退会させています。アカマイは「APIの不備が悪用されたという公式発表はないが、報道内容から確度の高い原因として推定した」と断ったうえで、個社のAPIの脆弱性が突かれた事例と見ています。

海外では2026年8月、オーストラリアでAIエージェントが自律的にAPIの不備を悪用した事件が起きました。AIエージェント環境「OpenClaw」でClaude Opus 4.6を使っていたユーザーが、「ジムの予約待ちの順位を上げられないか」と頼みました。するとエージェントは予約システムのAPIにキャンセルの認可チェックが無いことを見つけ、他の利用者の予約を無断で取り消して順位を繰り上げてしまったのです。中西氏は「起こった事象を見ると、割と似ている。日本にはまだ来ていないという話ではない」と語りました。

同社はこうした攻撃への対策として「API Security」を提供しています。個社ごとのAPI仕様に潜む未知の欠陥を探ろうとする自動化された動きをリアルタイムに捉えてブロックし、どこに高リスクの脆弱性があるかを分析して修正を促す製品です。国内ではアパホテルを運営するアパグループが導入しました。宿泊客向けアプリ「アパ直」や滞在者向け「APA Stay Here」、清掃やフロントなど業務用アプリ、旅行業者との連携で使うAPIの可視化に使っているといいます。

「フロンティアAIのニュースが取り上げられるようになってから、放置されていた脆弱性や仕様上の欠陥が洗い出せてしまうことを考えると“もはや待ったなし”と、どの業界でも危機感を覚えている」と中西氏は言います。問い合わせも急増しているそうです。

まとめとして中西氏は、コマース業界のセキュリティで特に重視すべき点を2つ挙げました。多層防御を施しても正規ユーザーのアクセスを遅くしたり止めたりすることは許されないこと、そして難読文字の入力のような余計な手間をユーザーにかけさせない設計が必要なことです。「アクセスの遅延やストレスの増加は、売上の減少やカゴ落ちにすぐつながる」ため、どこまでやれば顧客が離脱しないかというバランスを含めて提案できる体制を整えているとしました。

「AIが選ぶ」は本当に購買につながるのか

質疑応答では、AIエージェントによる検索が最終的な購買に結びつくのかという根本的な疑問も飛び出しました。人間は自分が欲しいものをよく分かっておらず、AIに探させても「何か違う」となることが多いのではないか、という指摘です。これに対し、中西氏は「商品による」と答えます。旅行の予約のようにAIエージェントに任せたいものと、自分で選びたいものの使い分けはユーザーの中にあるとしつつ、「この波に乗らないという手も、業種を問わずおそらくない。仕組みとして用意しておく必要がある」と述べました。

国内の事業者の反応を問われると、同社も共催する小売のEC担当者向けイベント「コマースサミット」を挙げ、昨年は広島、今年は宮崎で約600人規模で開かれたことを述べます。メインテーマがまさにエージェンティックコマースだったとのこと。「事業者の方が我々より温度感が上がっているところまである。すぐ利益につながるかはともかく、戦略として今考えない手はない段階に来ている」と語りました。

SEOにかけていた集客コストがGEOに移るのかという質問には、「GEOが出てきたからといってSEOの土台がなくなるわけではない」と前置き。そのうえで評価軸がまったく異なるため両方を無視できないとし、アカマイ自身もSEOにかけていたコストのかなりの部分をGEOに振り向けていることを明かしました。

買い手と売り手のAIエージェント同士が交渉する時代に「AIの能力差が購買を決めるのか」という問いには、エージェントを設計するモデルの精度競争になり、それがリスクにつながる恐れを認めました。「攻める側のAIと受ける側のAIの化かし合いは、いたちごっこと言われればそれまでだが、放っておくとコンピューターに圧倒的にやられてしまう。自衛のためにこそAIを導入する意味がある」との考えです。

「人間向けのコンテンツはいらなくなるのではないか」という問いには、「そう思っているところもある」と率直に答えます。AIに要約してもらった方がすっきり読めるという声を踏まえ、元コンテンツのあり方を社内でも議論しているそうです。

ゲーム業界への示唆

ブリーフィングの主題はECでしたが、ゲームビジネスに引き寄せると論点は5つに整理できます。

AIの回答の中で自社タイトルがどう扱われているかを測る指標を持つこと。 引用率、言及頻度、表示位置、センチメントという4つのKPIは、そのままゲームのブランディングに転用できます。「ニンテンドースイッチ2で遊べる協力プレイのおすすめは」とAIに聞いたとき、自社タイトルが挙がるのか、そしてどのソースを根拠に語られるのか。発売前のマーケティングの勝負どころは、検索順位からAIの回答内の位置へ移りつつあります。

公式情報をAIが読める形に構造化すること。 発売日、対応機種、価格、エディション差、DLCの有無といった、AIが混同しやすい情報ほど構造化の効果が大きい領域です。「90日以内の更新で引用率3倍」というデータは、発売後に放置されがちな公式サイトの運用を見直す根拠になります。

自社ECの転売ボット対策は、ユーザーへの摩擦ではなく検知側で解く。 ハードや限定版の発売日にボットが集中する構図は、カシオの事例と同じです。抽選販売やCAPTCHAでユーザーに負担を強いる前に、ログイン不要の商品ページを繰り返し叩くスクレイパーを検知できているかが問われます。

APIの棚卸しを急ぐこと。 アカウント、課金、ランキング、フレンド、クロスプレイと、ゲームはAPIの塊です。バンダイチャンネルの事件が示すように、もはや脆弱性を見つけた高校生がChatGPTで攻撃プログラムを書ける時代になりました。フロンティアAIが個社のAPIの穴を見つける前に、機密情報を扱うAPIがどこにあるかを把握することが出発点になります。

AIエージェントによる購買は、まずプラットフォームで動く。 Steamやコンソールストアでのエージェント決済は各プラットフォーマーが握ります。パブリッシャーが直接手を打てるのは自社ECと公式サイトであり、だからこそ「AIにどう見えるか」の可視化から始める意味があります。

中西氏の「今考えない手はない」という言葉は、EC事業者だけに向けられたものではありません。ゲーム業界は、AIボットの関心はまだ低い一方で、攻撃者の関心は業種別で2位、3位という位置にいます。集客と防御の両面で、AIを前提にした設計へ移る時期に来ています。