Anyday、200件超のエクスプロイトを報告する無料AIツール「ExploitTotal」を公開

セキュリティチームに、脆弱性を評価するための新たな選択肢が登場しました。防御策のテストを支援するために設計された、AI生成のエクスプロイトです。

Anyday Securityは2026年11月11日、防御目的のテスト向けに脆弱性評価とPoC（概念実証）エクスプロイトを提供する、無料のAI搭載プラットフォーム「ExploitTotal」を公開しました。同社によると、これまでに200件を超える動作するエクスプロイトを生成しており、組織が修正の優先順位を決めたり、セキュリティ対策を検証したりするのに役立つ可能性があります。

「AIによって、脆弱性とエクスプロイトの間の距離は一気に縮まりました」と、Anyday SecurityのCEO兼共同創業者であるYonatan Gorfung氏は述べています。同氏は、公開されたエクスプロイトコードが存在しないことは、もはや脆弱性の悪用しやすさを示す確かな指標にならないと主張しています。

ExploitTotalの仕組み

Anydayは公開時の発表で、オープンウェイトモデルのGLM-5.3を使い、公開されているセキュリティアドバイザリとベンダーのパッチをもとに200件を超える脆弱性を検証したと説明しました。成功したエクスプロイトのうち72%は、これまで公開されたエクスプロイトが存在しなかったものだといいます。

ExploitTotalが公開している方法論では、結果を次の3つに分類しています。

• 動作するエクスプロイト：モデルが標的の制御を奪取
• 再現可能なクラッシュ：制御の奪取までは示せないものの、脆弱性を発動
• 失敗した試行：テストでは悪用可能性を実証できず

プラットフォームが対象とするのは、Chromium、Firefox、Windows、Linuxの一部の脆弱性です。Googleによる最近のChromeのゼロデイ脆弱性に対するセキュリティ更新は、実際に悪用されているブラウザの欠陥に対処する必要性を示しています。

公開検索は無料です。一方、PoCのダウンロードには専門家としての本人確認が必要で、週5件までに制限されています。

防御側は生成されたエクスプロイトをどう活用できるか

ExploitTotalは、自社環境で脆弱性が実際に悪用可能かどうかを検証することで、セキュリティチームが深刻度スコアだけに頼らない対応へ進めるよう支援することを目指しています。

「セキュリティチームは自社環境にある何千もの脆弱性を把握していますが、実際に動作するエクスプロイトを手元に持っているケースはほとんどありません」と、Anyday Securityの共同創業者兼CTOであるOmri Sibony氏は話します。

「当社のシステムは、ベンダーが修正を公開したその日のうちにエクスプロイトを生成します。そのため、チームは自社の脆弱性を検索し、自社システムに対してエクスプロイトを実行して、ツールが攻撃を阻止できるかどうかを確認できます。阻止できなければ、侵害が起きて初めて気付くのではなく、実際の攻撃に対応した検知ルールや仮想パッチを作成できます」

AIを活用した脆弱性悪用が広く実現可能であることは、独立した調査でも裏付けられています。Epoch AIは、管理された条件下でGLM-5.3が動作するFirefoxのエクスプロイトチェーンを開発できることを実証しました。ただし、この結果がExploitTotalの報告する性能を独立して検証したものではありません。

また、エクスプロイトのタイムラインに関するCrowdStrikeの最近の調査結果では、PoCの公開から35分以内に悪用された事例が1件確認されています。

組織がリスクを軽減する方法

迅速に悪用される脆弱性に対して、組織は次のような対策で防御を強化できます。

• 公開システムの優先順位付けとパッチ適用：資産インベントリ、CVSS、EPSS、CISAのKEV（既知の悪用された脆弱性）更新情報を活用して、修正の優先順位を決めます。
• 補完的な対策の適用：すぐにパッチを適用できない場合は、仮想パッチ、WAFルール、IPSによる保護、アクセス制限を導入します。
• 攻撃対象領域の縮小：不要なサービスを無効化し、管理者アクセスを制限し、重要なシステムをセグメント化します。
• 検知能力の検証：承認されたPoCを隔離環境でテストし、セキュリティツールが悪用の試みを検知できるか確認します。
• インシデント対応計画のテスト：迅速に悪用される脆弱性を想定し、エスカレーション、封じ込め、復旧の手順を訓練します。

Anydayの利用規約は、PoCの実行が安全でない可能性や、破壊的な影響を及ぼす可能性があると警告しています。

ExploitTotalは、防御側が自社の露出状況を検証し、検知能力を高める助けになる可能性があります。ただし、報告されている結果については、さまざまな環境での第三者による再現が引き続き必要です。

関連記事：欧州の通信事業者に対するAI支援型の侵入が報告されました。攻撃作戦におけるAIエージェントの別の活用例として注目されます。