316社のリスクマネージャー、監査担当者、経営幹部が4月と5月をかけて、まだ実感していない20の脅威をランク付けしました。Gartnerによると、AIによるサイバー脆弱性の発見が最上位に浮上したといいます。3か月前の同じ四半期調査では、情報の完全性リスクが首位で、AIによる脆弱性発見はトップ5にも入っていませんでした。
エクスプロイト作成という難関の消失
この数値の背景では、二つの変化が起きています。AIシステムは、どのパッチ適用チームも処理しきれないほどの量で、これまで知られていなかった欠陥をスキャンするようになりました。また、欠陥の発見から実際に機能する攻撃コードを手にするまでのステップが、ほぼゼロにまで縮まっています。かつてエクスプロイトの作成は、大半の攻撃者を阻む壁となっていましたが、もはやそうではありません。防御側は、AIの統合によって見通しがますます悪くなったシステムの内部で、クリアできる速度を上回るペースで積み上がる未パッチの重大な脆弱性の山を引き継ぐことになります。
AIモデルは実際に機能するエクスプロイトの生成能力を高めており、ベンダー各社は悪用可能なコードをいち早く特定してパッチを当てるための防御的パートナーシップを立ち上げています。AnthropicのProject GlasswingとOpenAIのDaybreakは、その代表例です。
回答者はこのリスクの時間軸スコアを1.92と評価しました。このスケールでは、1が「1年未満で具体的な影響が出る」、2が「1〜2年」を意味するため、平均的な回答は2年弱に位置づけられます。回答者の76%がこのリスクをトップ10に挙げ、全4地域で第1位となりました。ヨーロッパとアジア太平洋地域で78%、南北アメリカで75%、中東・アフリカで70%という結果です。銀行・金融サービス・保険業界の回答者は78%がこれを選び、それ以外の業界では74%でした。
「AIが脆弱性発見の効率性とアクセスのしやすさを高める能力は、従来型のリスク管理手法がそのペースに追いつくことをますます困難にしています」と、Gartner Risk & Audit PracticeのシニアプリンシパルアナリストであるKevin Mercado氏は述べています。「ガバナンス、セキュリティ運用、修復能力の相応の向上がなければ、AI主導の脆弱性発見は組織の防御力を上回るペースで進み、重大なサイバーインシデントや業務停止の可能性を高めることになりかねません」
備えは「万全」との自己評価
同じ回答者たちは、このリスクへの備えについても第1位にランク付けしています。影響度で第1位、切迫度で第3位、備えの度合いでも第1位。つまり、最も破壊的だとされる脅威こそが、最もうまく対処できていると彼ら自身が答えている脅威なのです。ここでの「備え」は5段階評価による自己申告で、最高評価は「そのリスクが積極的に議論され、対策が講じられている」ことを意味します。このリストの最上位に押し上げた能力に対して、それらの対策が実際に通用するかどうかを検証する項目は、この調査には一切含まれていません。
ここから導き出される確認事項は4つあります。まず、サイバーリスクに割り当てる影響度を見直すこと。発見の高速化は、サードパーティ、事業継続、法的リスクへのエクスポージャーも同時に引き上げるためです。次に、継続的なエクスポージャーに対するリスク許容度を再検討し、脆弱性を未パッチのまま放置できる期間を明確に定めること。さらに、ベンダーがすでに侵害を受けていないかという点について、より強固なセキュリティ検証を求めること。そして、脆弱性管理を、より迅速かつ自動化された修復へと移行させることです。
AIによる脆弱性発見は、回答者がビジネス上のメリットを最も強く感じた5つのリスクには含まれていませんでした。そちらの上位には、AI主導の競争優位性の喪失、エージェント型AI、AI主導によるスキル劣化、AIの知的財産管理、米国の金融規制緩和が挙げられました。AIによる脆弱性発見は、対極に位置する形でリストの頂点に立っています。
翻訳元: https://www.helpnetsecurity.com/2026/08/26/ai-vulnerability-discovery-emerging-risks/
