AIサプライヤーの3社に1社に、未修正の重大な脆弱性

Black Kiteの新たな調査によると、AI企業の3分の1以上が、インターネットに公開しているシステムに未修正の重大な脆弱性を抱えています。モデルやアプリケーション、連携機能を通じて企業の機密データとの接続が進むベンダーで、セキュリティ上の弱点が明らかになりました。

Black Kiteは11月10日付のレポートで、世界のAI企業18,160社を評価しました。その結果、34.2%の企業で重大な脆弱性を確認しています。さらに9.8%の企業は、実際の攻撃で悪用された脆弱性を追跡するCISAの「Known Exploited Vulnerabilities(KEV)」カタログに掲載された脆弱性を、少なくとも1件抱えていました。

調査では、メール認証の不備、認証情報の漏えい、共有されるAIインフラの弱点も判明しました。サードパーティのAIサービスに依存する組織にとって、これらはベンダーを評価し、業務システムへのアクセスを管理する際に考慮すべき新たな要素となります。

Black Kite、AIサプライヤーに広がるセキュリティ上の穴を確認

2026 AI Supply Chain Reportは、AI製品の開発・導入・サポートを手がける企業について、外部から観測可能なセキュリティ状況を調べたものです。

調査結果から、次のような懸念点が浮かび上がりました。

研究者らは、インターネットに公開されているソフトウェアやデバイスのバージョンを、公表済みの重大度「クリティカル」のCVEと照合し、重大な脆弱性を特定しました。

Black Kite独自の「Ransomware Susceptibility Index」では、29.7%の企業が重大リスクの基準以上と判定されました。また、評価対象のサプライヤーの44.3%で異常なネットワーク活動が見られました。

規模の大きいAI企業ほど、リスクへの露出は大きくなっています。従業員が50人を超えるサプライヤーでは、58%が未修正の重大な脆弱性を抱えていました。調査対象全体では34.2%です。

Forbes AI 50を対象とした別の評価でも、52%の企業に未修正の重大な脆弱性が見つかりました。

大規模な組織は通常、インターネットに公開するシステムが多くなります。そのぶん侵入口の候補が増え、セキュリティチームが維持すべきインフラも広がります。

共有AIツールがもたらす追加のリスク

Black Kiteは、広く使われている3つのAIツールに関連する脆弱性が見つかった企業を105社特定しました。

• n8n: 93社が、CISAのKEVカタログに掲載されたリモートコード実行の脆弱性「CVE-2025-68613」の影響を受ける状態でした。
• Langflow: 5社で関連する問題が見つかりました。うち4社はKEV掲載の2件の脆弱性に関連しています。
• LiteLLM: 7社で、AIモデルゲートウェイに関する問題が見つかりました。

これらのツールは、AIアプリケーションをデータベースや外部サービス、自動化されたワークフローにつなぐ役割を担います。こうした接続部分に脆弱性があると、認証情報が漏えいしたり、攻撃者に不正なコマンドを実行されたりするおそれがあります。

過去に起きたLiteLLMやMCPサーバーへの攻撃は、侵害されたAIインフラがもたらすセキュリティリスクを示しています。

Black Kiteは、インターネット上で発見できるModel Context Protocol(MCP)コンポーネントも調べ、1,732件のセキュリティ上の問題を確認しました。このうち48.8%と半数近くが、重大度「高」または「クリティカル」と評価されています。

重大度「クリティカル」と判定された77件のMCPの問題のうち、87%はコードインジェクションまたはコマンドインジェクションに関するものでした。攻撃者が接続先のシステムに干渉する経路になりかねません。

こうした脆弱性が共有インフラに集中していることは、共通のコンポーネントで構築された複数のAIサービスに依存する企業にとって、さらなる課題となります。

セキュリティチームはAIサプライヤーをどう評価すべきか

企業がAIサービスの利用を広げ、自動化されたシステムに社内アプリケーションへのアクセスを与えるなか、今回の調査結果は、サードパーティのセキュリティ評価を急ぐ必要性を高めています。

セキュリティチームは、AI特有の依存関係や権限を既存のベンダーリスク管理プロセスに組み込むことで、リスクを減らせます。

主な対策は次のとおりです。

1. 悪用されている脆弱性を優先する。サプライヤーをCISAのKEVカタログと照合し、修正の時期を確認したうえで、重大な修正が適用されたことを検証します。最近のAIインフラに影響するCISAのKEV追加は、実際に悪用されている脆弱性への対処が欠かせないことを裏づけています。
2. 認証情報の漏えいを調査する。サプライヤーに対し、侵害された認証情報の無効化、影響を受けたセッションの終了、不正アクセスの調査を求めます。
3. ソフトウェアの依存関係を把握する。ベンダーが利用しているAIゲートウェイ、ワークフローツール、オープンソースライブラリ、外部モデルを洗い出します。
4. 連携を制限する。AIアプリケーションには必要な権限と業務システムのみを与え、必要に応じてアクセスを取り消す手順を整えます。
5. ベンダーのセキュリティを継続的に監視する。導入後も、新たに公表された脆弱性、インフラの変更、修正期限の超過を追跡します。

これらの対策は、サードパーティのパッケージ、開発者向けツール、連携サービスに関わるAIソフトウェアのサプライチェーンリスクへの幅広い取り組みを補完します。

可視性の限界がベンダー評価を難しくする

Black Kiteは、外部スキャンと脅威インテリジェンスを用いて、2026年9月から10月にかけて調査結果を収集しました。

評価の対象は、AIの業務アプリケーション、導入支援サービス、専門プラットフォーム、コンシューマー向け製品、基盤技術、産業用システムに携わる企業です。

同社の外部評価の手法は、外部から観測できる脆弱性やセキュリティ上のシグナルを特定するものです。内部のセキュリティ対策、非公開のインフラ、修正の運用状況については、追加の調査が必要になる場合があります。

また、小規模な企業ほどインフラが外から見えにくい傾向があり、外部評価で検出できる脆弱性の数が限られる可能性があります。

AIサービスを購入する企業では、サプライヤーの評価にあたって、ベンダー自身のセキュリティ体制と、その製品がアクセスできるシステムの両方を考慮する必要性が高まっています。

広く使われるAIコンポーネントに未修正の欠陥があれば、複数のサプライヤーに影響が及ぶおそれがあります。権限が過剰であれば、侵害された連携機能の被害も拡大しかねません。

定期的な脆弱性評価、依存関係の棚卸し、アクセス権限の見直しを行えば、こうした弱点が接続された環境全体に広がる前に見つけ出せます。

関連記事: CISAが悪用されているGPUStackなどのエンタープライズ向け脆弱性について最新の警告を発表しており、公開システムで急ぐべきパッチ適用の優先順位を詳しく解説しています。