AIの脆弱性検知増で修正作業が逼迫、対策は開発段階へ

2026-08-16

開発段階での診断が焦点

ソフトウエア上で新たに見つかった脆弱性は、2026年1〜6月の半年間で3万6000件に達した。米新興アンソロピックの「クロード・ミュトス」といった先端AI（人工知能）の登場で検知件数が増え、人手による修正が追いつかないリスクが強まっている。

脆弱性は、ソフトウエアを動かすコードに潜む不具合やミスによって、本来想定されていない動作を引き起こせる状態を指す。動作停止や不正侵入のほか、SQLインジェクションによる情報流出、バッファオーバーフローを悪用した誤作動などにつながる。世界で公表された脆弱性を集めるデータベース「CVE」の新規登録数は25年に約4万8000件と、22年比で1.9倍になった。26年は6月までにすでに約3万6000件に達している。

攻撃と防御の非対称性

アンソロピックはミュトスで大量の脆弱性を見つけたと明らかにしており、AIの性能向上が検知増の一因とみられる。未公表の脆弱性は「ゼロデイ」と呼ばれ、先端AIは長年見過ごされてきたものまで見つける。もっとも、修正には限られた人材と予算の中で慎重な検証が必要だ。脆弱性分析を担う米国立標準技術研究所（NIST）も、対応を緊急性の高い案件に絞る方針を示している。

PwCコンサルティングの村上純一パートナーは、欧州や英国のサイバーセキュリティー機関、日本の総務省が公表するガイドラインはいずれも、AIによる脆弱性の自律的な修正を前提にしていないと指摘する。24年には米クラウドストライクのセキュリティーソフト更新で、米マイクロソフトの基本ソフト「ウィンドウズ」に大規模障害が発生した。攻撃側はAIが見つけた脆弱性を手当たり次第に悪用できる一方、防御側は専門家の確認を経て修正する必要があり、AIを巡るサイバー攻防は攻撃側が有利な非対称戦になりやすい。

提供前診断の重要性

企業や組織にとって有効な使い方は、開発中や提供前の脆弱性診断だ。従来は、ソフトウエアを早く公開し、問題があれば公開後に更新する考え方が一般的だったが、AIを使えば低コストで脆弱性を減らせる可能性がある。今後は、発注者が契約で提供前の診断を求める場面も想定される。

公開後に見つかった脆弱性をAIに自律的に修正させるのはリスクが高いが、専門家の作業を補助する用途は考えられる。修正にかかる時間を短縮し、限られた人員で対応を回すことが重要になる。ただ、脆弱性を完全になくすのは難しい。一般社団法人ソフトウェア協会（東京・港）は7月、脆弱性対応のために稼働中のシステムやサービス提供を止めざるをえない場面があるとする提言を公表した。今後はサービス中断や代替サービスへの切り替えが増える可能性がある。

この記事が役に立ったら、ぜひシェアしてください。