AIによるバグの津波の中、NISTが頼るのは……AI

米国国立標準技術研究所(NIST)は、National Vulnerability Database(NVD)の今後の方向性について意見を募集しており、サービス運営やソフトウェア脆弱性データの充実化にAIをどの程度組み込むべきかを検討しています。

米国のこの機関は8月12日、NVDの運用に関する6つの領域について、パブリックコメントを求める要請を公表しました。対象には脆弱性管理プロセスやリスクの優先順位付けのほか、脆弱性データのリポジトリ全体としてのビジョンも含まれます。「人工知能の時代におけるNational Vulnerability Databaseの近代化に関する情報提供要請(RFI)」は、同機関が脆弱性の大量流入に対処している最中に発表されました。この流入は一部AIが原因で、研究者がより速いペースで欠陥を調査・発見できるようになったことによるものです。

「今日の脆弱性管理エコシステムは急速に進化しており、AIを活用したサイバーツールと加速する技術提供サイクルによって特徴づけられています」と同機関はRFIの中で述べています。「悪意ある攻撃者は、AIシステムを活用して脆弱性を大規模に発見・悪用し、侵害後の活動を支援しようとする可能性があります。定期的なスキャン、静的な優先順位付け、手動での修復を中心とする従来型の脆弱性管理アプローチの不十分さは、ますます明らかになっています」

NISTは特に、文脈に応じたリスクの優先順位付けを改善するためにAIやその他の自動化メカニズムをどのように活用できるか、また自動化された脆弱性修復においてAIシステムが果たすべき役割があるかどうかを問うています。今回のRFIは、増え続ける脆弱性の未処理案件に対応するために同機関が講じてきた最新の取り組みであり、この問題はこの18か月の間にNISTおよびその各種プログラムへの予算削減によって悪化してきました。4月には米国のこの機関が、エンリッチメント(情報充実化)の優先対象を、CISAの既知悪用脆弱性(KEV)リストに掲載されている脆弱性、連邦政府が使用するソフトウェアの欠陥、そして大統領令14028で定義された重要ソフトウェアにおけるセキュリティ問題に絞ると発表しました。

2026年、ソフトウェア欠陥の洪水

新たな脆弱性の流入の管理は、サイバーセキュリティ専門家を疲弊させています。2026年に入ってから8か月間で、報告されたソフトウェア脆弱性の数——CVE.ICUによれば50,340件——は、2025年と比較して72%以上急増しています。年初4か月分のデータに基づくと、報告される脆弱性は今年、50%以上増加する可能性が高いと、CiscoのプリンシパルエンジニアでCVE.ICUの開発者でもあるJerry Gamblin氏が5月に公表した分析で述べています。

2026年は脆弱性件数において記録的な年になると見込まれていますが、そのうち実際に悪用可能な問題はごく一部にとどまる見通しです。脆弱性報告の二大情報源であるGitHubとVulnCheckからの問題のうち、悪用可能とみなされるもの——KEVリストへの追加、あるいはExploit Prediction Scoring System(EPSS)スコアが0.1以上であることのいずれかで判断——は1%未満だと、Gamblin氏の分析は明らかにしています。

「より本質的な問いは、この件数の急増が防御側にとって本当に重要な意味を持つのかどうかです」と同氏は分析の中で述べ、今日のソフトウェアが突然安全性を欠くようになったわけではないと付け加えています。「件数の多さそのものは負担を意味しません」

むしろNISTが直面している課題は、重大な問題を低深刻度の脆弱性から切り分けること、そしてその情報をより効果的に伝えることにあります。エクスポージャー管理企業ArmorCodeの最高セキュリティ・信頼責任者であるKarthik Swarnam氏はDark Reading の取材に対し、NVDが整備してきたエンリッチメントデータは歴史的に、処方的というよりも記述的な性質のものだったと語っています。

「そのデータは脆弱性が何であるか、どの程度深刻になり得るかは教えてくれますが、実際に悪用されているかどうか、悪用される可能性の高さ、修復策の有無やその有効性、そして防御側がその修復策にどの程度の信頼を置くべきかについては、ほとんど文脈を提供してくれません」と同氏は述べています。

むしろNVDの近代化は、脆弱性が実際に悪用されているかどうか、修復の状況、追加の脅威インテリジェンスといった、より多くの文脈を提供する助けになり得ます。「近代化は、エンリッチメントを中心テーマに据えるべきです」と同氏は述べています。

刷新されたNVDでAIはどんな役割を担うのか

NISTのエンリッチメントの取り組みを2年以上にわたり悩ませてきた問題を受け、一部のサイバーセキュリティ専門家は民間業界が協力してこの問題を解決すべきだと主張してきました。しかし、NISTの自前の取り組みには限界があるとはいえ、政府が運営する——少なくとも政府が主導する——プログラムこそが、データへの信頼を維持するうえで不可欠だと、BugcrowdのChief Strategy and Trust OfficerであるTrey Ford氏はDark Reading に語っています。

「NVDの信頼価値は、まさにそれが政府運営であるという点にあります。中立的で、非営利的で、深刻度を過小・過大評価するベンダー側のインセンティブが存在しません」と同氏は述べています。「複数ベンダーがそれぞれ独自の深刻度スコアを勝手に選ぶような断片化した世界は、防御側にとってより良いどころか、むしろ悪化します。政府運営の枠組みは、透明性を伴った自然なチェック・アンド・チャレンジのエコシステムを生み出せます」

政権による脆弱性優先順位付けの取り組み「Gold Eagle」のような施策は助けになるでしょう。とはいえ、AIを用いて優先順位付けプロセスを強化することは、その取り組みが標準化され、再現可能で、オープンなものである限り、脆弱性評価とトリアージの速度と精度を確実に向上させ得ると、Ford氏は述べています。

「私が懸念しているリスクは、NISTが人による検証層を維持しないままAIに頼ってギャップを埋めようとした場合、データはより速くはなっても、より信頼できないものになってしまうという点です。それでは『信頼でき、標準に基づいた』レジストリという本来の目的が損なわれます」と同氏は述べています。「精度を伴わない速度は、信頼の問題をNVDのデータを利用する側へと押し付けているにすぎません」

連邦官報への通知に対するコメントは、2026年10月13日の米東部時間終業時刻までに提出する必要があります。