Googleの脅威インテリジェンスグループ（GTIG）は水曜日、脆弱性の開示件数が1月から8月にかけて倍増し、先月には過去最多の10,740件に達したと発表しました。
開示件数の合計は、1月の5,045件から始まり、7月と8月にはいずれも10,000件を超えるまでに急増しました。
研究者らは「AIは、脆弱性の発見と悪用のペースだけでなく、発見される脆弱性の種類や典型的なリスクプロファイルにも、明確な変化をもたらしていることがわかりました」と述べています。
研究者らによると、発見されたバグの総数に加え、この8か月間に開示され悪用された固有の脆弱性の数も、2025年通年の合計をすでに上回りました。悪用された脆弱性は、昨年の127件に対し、今年はすでに141件に達しています。
GTIGは水曜日に公表したレポートで、2026年に脆弱性の悪用が増えた要因は「新たなゼロデイが大量に出現したことではなく、リスクの高いエクスプロイトが標的を絞って素早く実際の攻撃に使われていること」にあると指摘しました。ゼロデイとは、ベンダーが把握する前に悪用される脆弱性を指します。nデイは、すでにパッチが提供され、公表された脆弱性のことです。
研究者らは、攻撃者が人工知能（AI）を使ってパッチを解析し、重大なバグを悪用する技術を高めていることを確認しました。GTIGのシニアアナリストであるKelli Vanderlee氏は、AIを活用した脆弱性の発見と悪用は、短期から中期にかけて拡大し続けると予想しています。
研究者らは「攻撃者は、新たなゼロデイを見つけるよりも、LLMやAIツールを使って製品バージョン間の差分、パッチ、脆弱性の公表情報、概念実証（POC）コードを自動で分析し、nデイを素早く武器化するほうが、手軽で効率的だと考えている可能性があります」と述べています。
Googleが例に挙げたのが、BeyondTrust製ソフトウェアの脆弱性「CVE-2026-1731」です。米連邦のサイバー防衛機関が2月に注意を呼びかけました。このバグは、サードパーティーのリサーチエージェントであるHacktron AIが自律的に発見したものです。
Googleの研究者らによると、この脆弱性が公表された後、攻撃者が「標的型の初期侵入キャンペーンでこの脆弱性を武器化し、企業の境界防御を突破する」様子が確認されました。
研究者らは「具体的には、公表から4日以内にGTIGが1つの脅威クラスターによる悪用を観測し、7日以内にさらに5つの脅威クラスターが続きました」と説明しています。
「これらの攻撃者は全体として、権限昇格、データ窃取、SNOWLIGHT、SPARKRAT、クリプトマイナーなどの二次ペイロードの投下といった、さまざまな侵入後の活動を行っていることをGTIGは確認しました」
この事例は、自律型リサーチエージェントが重要な攻撃対象領域に向けられた場合、「深刻度の高い欠陥を見つけ出す強力な能力を発揮する」ことを示しています。
AIエージェントは主に、中リスクから高リスクの脆弱性の発見に使われています。Vanderlee氏によると、GTIGは、悪用された場合に大きな緩和要因を乗り越える必要なく、標的のデバイスやネットワークのセキュリティに顕著かつ直接的な影響を与えられるバグを、高リスクに分類しています。
同氏は「悪用の信頼性は高いと見込まれ、通常は広範囲に実行できます」と付け加えました。
研究者らによると、今年の開示の多くは、ルーターのファームウェアを手がけるTotolinkやOracleなど、ごく一部のベンダーに集中しています。
攻撃者は引き続き、境界に置かれたアプライアンスや公開された企業向けサービスを悪用の中心に据えています。1月から8月に悪用された脆弱性の14%は、エッジ機器やセキュリティアプライアンスに影響するものでした。
このレポートは、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が先週公表した調査結果とも一致します。CISAによると、2026年に公開された新規CVEはすでに67,000件を超えました。専門家は、年末までの新規CVEが合計96,000件に達すると予測しています。
CISAによると、米国立標準技術研究所（NIST）の脆弱性データベース（NVD）プログラムでは、年間のCVE登録件数が2020年から2025年にかけて263%増加しました。2026年最初の3か月の登録件数も、2025年の同期間より3分の1多くなっています。
翻訳元: https://therecord.media/google-vulnerabilities-cyberattacks-ai
