ビジネスセキュリティ
そして、今日のAI主導による脆弱性発見の急増は、いずれ明日のソフトウェアをより安全なものにするのでしょうか。
これまで知られていなかったソフトウェアの脆弱性が急速なペースで発見されている状況は、ここ数カ月、大きな話題となっています。この問題を受けて米国政府は、脆弱性の調査・軽減・修正に関する取り組みを調整するため、Gold Eagleという名称の脆弱性クリアリングハウスを設立するまでに至りました。
サイバー防御担当者が直面している圧力の大きさは、この4カ月間にMicrosoftのPatch Tuesdayで公開されたパッチの数からもうかがえます。4月には169件、5月には118件、6月には合計571件(Microsoft自身のCVEが208件)、そして7月にはさらに622件の脆弱性が公開され、その中には積極的に悪用されているゼロデイも含まれていました。
Black Hat USA 2026の基調講演では、アリゾナ州立大学のYan Shoshitaishvili准教授とその学部生チームが、脆弱性発見におけるAIモデル利用の拡大について詳細な調査結果を発表しました。Shoshitaishvili氏は、6月付のワシントン・ポスト紙の記事に言及しました。同記事によれば、Anthropicの次世代モデルであるClaude Mythosは、Linuxカーネル内で479件の脆弱性を発見したとされており、同大学のチームはこれをベンチマークとして使用しました。一方、旧世代のGPTモデルを用いた場合、同チームが発見できた欠陥は「わずか」約300件でした。
この差は、Mythosがワークフローを活用していることに起因すると考えられました。そこでチームは、同様のワークフローを3種類のGPTに組み込んだところ、約600件の脆弱性発見につながりました。さらにチームは、既知の脆弱性が持つ特性を用いてGPTを学習させたところ、約1,000件の脆弱性を発見するに至りました。ここでチームは、発見のスピードがあまりに速く、報告作業が追いつかないという壁に突き当たりました。なお、ここでいう「報告」とは、問題そのものを指摘するだけでなく、詳細な調査内容と修正案の提示までを含みます。この規模の大きさは、責任ある開示のプロセス全体に疑問を投げかけるものです。チームの見解では、開示によってかえってリスクが高まることも多く、このプロセスはすでに機能不全に陥っているといいます。
本番環境において適時にソフトウェアへパッチを適用することは、すでに多くのサイバーセキュリティチームにとってストレスの種となっていました。このような指数関数的な増加は、限界点を招きかねません。その結果として、未パッチのソフトウェアが増えサイバー犯罪者に付け入る隙が広がるか、あるいは十分なテストを行わないままパッチが適用され、多くの環境で互換性の問題が生じることになるでしょう。
この問題を論理的な視点で捉え、楽観的な考え方を採用するならば、私たちは脆弱性発見のピークに向かっている最中であり、そのピークを越えた先には、平穏かつ落ち着いた、改善された「日常」という名の草原が広がっているのかもしれません。人間による脆弱性調査は、伝統的に多大なリソースを要するプロセスであり、それでも年々増加する形で発見が続いてきました。これは、研究者の数が増えたこと、ソフトウェアの数が増えたこと、そしてバグバウンティプログラムなどを通じた金銭的利益を目的として脆弱性を発見しようとする動機が強まったことなどが要因と考えられます。人間からAIへと主体が切り替わることは、いわば発見における「量子的アプローチ」への転換ともいえますが、AIは依然として学習段階にあるという点には注意が必要です。アリゾナ大学チームが詳述したように、モデルとそのワークフローを調整することで、さらに多くの脆弱性が発見される可能性があります。
また、レガシーソフトウェアの存在も忘れてはなりません。過去30年間に書かれてきた膨大な量のソフトウェアを考えれば、人間の努力だけで、現行および過去のソフトウェア群に存在するすべての脆弱性を洗い出すことは到底不可能です。しかし、AI支援による発見の規模であれば、いずれはそのカタログの終わりに到達する可能性があります。そうなれば、それ以降の新たな発見は、脆弱性の発掘に用いるモデル自体の性能向上によってのみもたらされることになるでしょう。
もちろん、新しいソフトウェアが絶えず開発され続けているという事実も忘れてはなりません。ここでも論理的に考えれば、今日のあらゆる開発チームは、ソフトウェアをリリースする前に、利用可能な同等のAI機能を活用して潜在的な脆弱性を排除しようとするはずです。そして、モデルの性能が向上するにつれて、事実上欠陥のないソフトウェアという理想が現実のものとなる可能性もあります。
この論理が優勢になれば、私たちは新たな脆弱性の発見がごくわずかとなる、平穏で落ち着いた草原にたどり着けるかもしれません。もっとも、この見方自体が単なる夢物語、あるいは私の見当違いな楽観論に過ぎない可能性もありますが。
