ラスベガス — 世界中の技術的脆弱性を整理・分類するグローバルシステムは、サイバーセキュリティ専門家を警戒させているAI生成のバグ報告の猛攻を乗り切るだけの回復力を備えている——そのシステムの主要な指導者たちが先週、当地で開催された2つのセキュリティカンファレンスでのパネルディスカッションでそう語りました。
共通脆弱性識別子（CVE）プログラム — その一意の脆弱性識別子はサイバーセキュリティ業界全体の基盤となっています — は「スケールする方法を必ず見つける」と、サイバーセキュリティ・インフラセキュリティ庁（CISA）で脆弱性対応・調整を担当するブランチチーフのリンジー・サーコブニク氏は、木曜日のBlack Hat USAカンファレンスで述べました。「CVEはこれからも発展し改善し続けます。私はとても前向きに捉えています」
同時に、プログラムの指導者たちは自分たちが直面している巨大な問題も認めています。「こうした脆弱性はAIのペースで次々と出てきています」と、マイクロソフトでサイバーセキュリティ政策のシニアマネージャーを務めるエリザベス・アイグナー氏は、金曜日のDEF CONで述べました。「しかし私たちは依然として、人間のペースでそれらを作成・処理しています」
非営利研究機関MITREが運営し、CISAが監督するCVEプログラムは、27年の歴史の中で最大の課題に直面しています。セキュリティ研究者たちが、高度なAIモデルによって生成されたバグ報告をプログラムに殺到させているためです。商用・オープンソースを問わず、ソフトウェア開発者たちは脆弱性報告の洪水への対応に苦戦しており、その一部は完全に不正確なものです。またCVEプログラム自体も、2025年初めの危機から依然として立ち直る途上にあります。当時、一部のサイバーセキュリティ専門家はプログラムの将来性に疑問を呈していました。
こうした問題は、世界で最も重要なサイバーセキュリティ資源の一つとされる脆弱性データベースの機能を麻痺させかねない事態となっています。
両カンファレンスのパネルでは、登壇者たちがこれまでに見たことのない規模の脆弱性報告の大波について語りました。新たな脆弱性に識別子を付与する権限を持つ530超のCVE採番機関（CNA）の一つであるGitHubは、2026年に入ってからこれまでに7,000件を超える識別子を公開しており、GitHubのマディソン・フィコリリ氏は、この数字はCNAとして年間記録に相当するとの見方を示しました。「これは競争ではありません」と彼女はDEF CONで述べました。「憂慮すべき指標です」
CISAもまた、その圧迫を感じています。同庁の脆弱性対応チームは、同時に360件から400件のケースに対応していると、サーコブニク氏はDEF CONで語りました。「1年前、あるいはそれ以前に見ていたものとは明らかに違います」と彼女は述べました。「私たちに報告される件数は増加し続けています」
世界最大級のテック企業でさえ苦戦しています。
「これが新常態なのかとよく聞かれますが、少なくとも今のところはそうだと答えています」と、大手CNAであるマイクロソフトのプリンシパル・セキュリティ・プログラムマネージャー、リサ・オルソン氏は語りました。
AI問題へのAIによる解決策
2026年の最初の4カ月間は「AIスロップ」だらけだったと、フィコリリ氏はDEF CONで振り返りました。不正確なAI生成のバグ報告が延々とソフトウェア保守担当者たちに押し寄せていたといいます。その後、モデルの精度は向上し、おおむね妥当な報告を生成するようになったと彼女は述べています。しかし、その向上によって、欠陥のある報告を見分けることはむしろ難しくなりました。フィコリリ氏によれば、そうした報告は「あまりに説得力があるため、対応に多くの時間を取られてしまい、結局『まあ、これは十分妥当そうだから、直してしまおう』となる方が楽なことが多い」といいます。
AIが報告の急増を招いている一方で、脆弱性対応担当者がノイズの中から本物を見極める助けにもなり得ます。AIモデルは欠陥を見つける点で人間より優れている場合もありますが、その非決定論的な性質ゆえに、同じ元データからでも常に同じ欠陥を見つけ出すとは限りません。
CISAは、限られた人員に過大な負荷をかけないよう、脆弱性の選別プロセスの一部をどう自動化するかを注視しています。
「これほどの規模の増加がある中で、限られたリソースをどこに最も効果的かつ効率的に投入できるでしょうか」と、サーコブニク氏はDEF CONで述べました。「すでに非常に困難な仕事を、担当者が本当に重要なことに集中できるようにするには、どうすればよいのでしょうか」
CVEプログラムはまた、最先端のAIラボをより深く取り込む方法も模索しています。同組織は最近、OpenAIとAnthropicに暫定的なCNAの地位を付与し、両社のモデルが特定のソフトウェアで発見した脆弱性にCVEを割り当てられるようにしました。「これは本当に大きな変化です」とサーコブニク氏は述べました。「できる限り多くを学ぶために、これを試験的に実施しています」
自らの最大のサイバーリスクを把握する
脆弱性の雪崩の中で、CISAは、各組織が脆弱性の優先順位付けを十分に行わず、対応に圧倒され——その結果、意図せず重大なセキュリティの隙間を残してしまうことを深く懸念しています。
「業界が優先順位付けによってスケールできるかどうか、私は懸念しています」と、サーコブニク氏はBlack Hatで述べました。「すべての脆弱性を同じように扱うことはできません」
セキュリティリーダーたちは、と彼女は付け加え、「ある問題を永久にパッチしないという選択肢もあり得るのだと、上司をどう納得させるかを考える必要があります」と述べました。
CISAは民間組織に対し、連邦政府機関向けの脆弱性優先順位付けに関する最近の拘束力ある運用指令のガイダンスに従うよう促しています。
「すべての脆弱性が重要というわけではありませんし、重要な脆弱性であっても、あなたやあなたの組織にとって同じレベルで重要とは限りません」と、サーコブニク氏はDEF CONで述べました。「あまり歓迎されない言い方かもしれませんが、それが真実です」
「脆弱性黙示録」とは呼ばないで（かもしれない）
脆弱性分析に携わる人々の間では、この課題がどれほど深刻かについて意見が分かれています。こうした分断は、数週間前にCVEプログラムがAIの影響について議論するために開催したリスニングセッションでも表面化しました。
そのイベントで登壇したある人物は「『脆弱性黙示録』という言葉はやめましょう。正確ではありませんから」と述べたと、サーコブニク氏はBlack Hatで振り返りました。彼女はその異論を理解できるとしています。「言葉遣いは重要です……深刻な脅威に、深刻さを感じさせない名前を付け、それがまるで解決不可能であるかのように語ってしまうと、実際に行動を起こすのが難しくなります」
一方で、製品セキュリティチームを率いる人々はリスニングセッションで、質にばらつきのある報告に「押し寄せられている」状況について語ったと彼女は述べました。
グローバルな連携
CVEプログラムは今なお、世界的な脆弱性エコシステムの要であり続けていますが、もはや唯一の存在ではありません。近年、各国政府がEU脆弱性データベース（EUVD）をはじめとする独自の関連プログラムを立ち上げています。一部のサイバーセキュリティ専門家は、こうした新プログラムの登場が分断につながるのではないかと懸念を示しています。
先週の両カンファレンスの登壇者たちは、そうはならないと述べました。EUVDはCVE IDを基盤に構築されており、欧州連合サイバーセキュリティ機関（ENISA）で脆弱性管理を統括するヌノ・ロドリゲス・カルヴァーリョ氏はBlack Hatで、「これを取り組みの重複とは全く捉えていません」と述べました。
「互いに同期していない複数のプラットフォームが並立するようなシステムは望んでいません」と、マイクロソフトのアイグナー氏はDEF CONで述べましたが、「現状では、2つの異なるシステムが生まれるリスクはありません」とも付け加えました。
CISA、懐疑派に安心感を伝える
CVEプログラムを運営するCISAとMITREとの契約が2025年4月に失効寸前まで追い込まれた後、サイバーセキュリティ専門家たちは米国政府がこれほど重要な資源の適切な管理者であるかどうかを問い始めました。先週ラスベガスで、CISAのサーコブニク氏はそうした批判に対して安心感を伝えようとしました。
「私たちはこれまで以上に本気で取り組んでいます」と彼女はBlack Hatで述べ、CISAはこのプログラムをより機敏にし、研究者たちのニーズによりよく応えられるものにしたいと考えていると付け加えました。CISAは、脆弱性記録の質の向上と報告プロセスの簡素化の両方に注力していると彼女は述べています。
サーコブニク氏は、CVEプログラムは現在、財政的に健全な基盤の上に立っていると述べましたが、昨年の危機一髪の事態が、CISAとサイバーセキュリティ業界全体の双方に、このプログラムの価値を改めて認識させたことも認めました。
「AIを活用した脆弱性研究と発見が現在進行形で台頭している中で」と彼女は付け加えました。「このプログラムの重要性は日を追うごとに一層明らかになっています」
ENISAのカルヴァーリョ氏は、世界がこのプログラムに対して確かなコミットメントを示しているようだと述べました。「別のモデルや別の方式が登場するとは思いません」と彼はBlack Hatで語りました。
誰もが同じように自信を持っているわけではありません。「世界中の規制当局の多くは、CVEは依然として進むべき道であり、標準であり続けるべきだと考えています」と、マイクロソフトのオルソン氏はDEF CONで述べました。「しかし、他の競合システムに取って代わられないようにするには、このプログラム自体がこの局面にしっかりと応える必要があると思います」
さらに厳しい見方を示す者もいました。
「CVEプログラムは、こうした脆弱性の流入を管理できるように設計されていたとは思いません」と、プログラム理事会メンバーでインテルの製品セキュリティ・インシデント対応を統括するケイティ・ノーブル氏はDEF CONで述べました。「現時点で、その流入に追いつけているとは思えません」
翻訳元: https://www.cybersecuritydive.com/news/cve-program-ai-black-hat-def-con/827477/
