マイクロソフト、セキュリティ更新の増加を警告

マイクロソフトは、Windowsに適用する必要のあるセキュリティ更新の数が今後増加する見込みであると顧客に警告しました。同社は最先端のAI技術を用いて、より多くのゼロデイ脆弱性を発見しているといいます。

この大手テック企業は7月9日のブログ記事で、セキュリティ分析にAIを適用し、「パターンをより迅速に特定し、リスクの優先順位付けを行い、Windowsコードベース全体で脆弱性発見の規模を拡大している」と主張しました。

「AIが防御側による問題発見を後押しすることで、顧客は各セキュリティリリースにおいてより多くのセキュリティ更新を目にするようになります」と同社は述べています。「これは防御側が問題の特定と対応において向上している証です。我々の focus は、これらのAIツールを効果的に活用することで、より迅速な保護、より強固なエンジニアリングシステム、そして顧客にとってより実用的なガイダンスを実現することにあります。」

AIを活用したセキュリティ研究についてはこちらもお読みください: 英国政府、AIハッカソンで400件以上の脆弱性を発見

この新たなアプローチの主要な構成要素が、複数モデルによるエージェント型スキャンハーネス（MDASH）です。これは複数のモデルを用いて新種の脆弱性を発見する仕組みです。

「MDASHをWindowsの規模で運用するため、Windows部門はスキャンと検証のための専用クラウドインフラを構築しました。スキャナーパイプラインが重要なバイナリをスキャンし、複数のモデルファミリーによるマルチモデル・ディベートを通じて候補を検証します」とマイクロソフトは説明しています。

「検証済みの候補は、その後、Windows専用の別の検証（prove）パイプラインに流れ、残存する誤検知を排除します。これにより、最も確度の高い発見事項のみがエンジニアリングチームに届く仕組みです。この自動化により、より多くの潜在的な脆弱性に対応でき、新たな脆弱性のレビュー期間を短縮し、ゼロデイ攻撃の悪用可能な期間を縮めることができます。」

マイクロソフトは、「AIを活用した攻撃手法や悪用経路」を踏まえ、セキュア開発ライフサイクル（SDL）のベストプラクティスも更新しているとしています。

しかし、更新の高い品質を維持するため、このプロセスには常に人間による監督が入ると同社は念入りに強調しています。

AIが脆弱性スキャンの未来を担う

このニュースは、米サイバーセキュリティ・インフラセキュリティ庁（CISA）がAnthropicのFableを使って政府システム全体の脆弱性をスキャンしていると報じられた今週の報道を受けたものです。

4月には、CVEボードでCISAを代表するリンゼイ・チェルコブニク氏が、ソフトウェアの脆弱性開示においてフロンティアAI企業がより大きな役割を果たすべきだと訴えていました。

しかし、全員がこれに納得しているわけではありません。6月に発表されたCobaltの調査によると、脆弱性スキャンを完全にAI自動化に依存している組織の割合は、2025年から2026年の間に29%から9%へと急落しました。

調査対象者のうち4分の3以上（78%）が、完全自動化されたスキャンツールでは重大な脆弱性を見逃す場合があると回答しています。

AIは解決策であると同時に、問題の一部でもあります。7月9日に発表されたOrca Securityの新たな調査では、組織の81%が脆弱なAIパッケージを稼働させており、修正可能なAI脆弱性の99.9%が未対応のまま残っていると指摘されています。