ニュース
AIが27年眠っていた脆弱性を発見する時代に――「パッチ適用の優先度を見直すべき」とセキュリティ専門家
2026年8月5日 06:15
EYストラテジー・アンド・コンサルティング株式会社は3日、AI時代に求められるパッチマネジメントをテーマとした説明会を開催。同社 ストラテジック インパクト パートナーの西尾素己氏が、脆弱性管理の動向や課題、そして今後求められる対応について語った。
「Claude Mythos」が示すAIの脅威
まず西尾氏は、最先端の性能を持つフロンティアAIの進展が、脆弱性管理の前提を変えつつあると指摘した。今年4月にAnthropicが発表した「Claude Mythos」は、その象徴的な事例だという。
「Mythosは数百万行規模のソースコードを横断解釈し、人間では発見が困難な脆弱性も調べ尽くす。その結果、27年間OpenBSDに潜んでいた脆弱性を発見した。人間がソースコードを見比べることでようやく見つけられるようなメモリー管理系の脆弱性も、見比べることなく爆速で発見する」と西尾氏は語る。
Mythosのもうひとつの重要な特徴として西尾氏は、軽微な脆弱性を組み合わせてシステム全体を掌握する構造的攻撃設計が可能になった点を挙げた。従来、脆弱性のインパクトの大きさは共通脆弱性評価システム（CVSS）のスコアを目安にしていたが、「この指標が崩壊しつつある。CVSSのスコア4～6という軽微な脆弱性を複数放置すると、組み合わせによって重大なインパクトを生む」と西尾氏は警告した。
AIが難読化コードの解読や即日パッチ解析も
フロンティアAIの登場により、脆弱性探索や攻撃面（アタックサーフェス）探索、攻撃経路探索が加速しているという。脆弱性探索では単体ソフトウェアの脆弱性発見を高速化し、攻撃面探索では言語の壁が取り払われ、日本語フィッシングメールの精度が向上するなど攻撃者の裾野が広がった。攻撃経路探索ではAIエージェント型の攻撃が増え、侵入後の深部到達までの時間が大幅に短縮されている。
西尾氏は「ランサムウェア感染まで6分という統計もある」と述べ、攻撃の高速化が深刻な脅威になっているとした。
また西尾氏は、AIによるプログラム解析が人間の作業を凌駕している現状についても言及した。逆アセンブル後の難読化コードを読み解く作業はこれまで職人技とされてきたが、AIであれば難読化されたまま解析でき、網羅的に脆弱性を探し出す。特にコードが公開されているオープンソースソフトウェアや、メーカーが自ら管理するソースコードのように整ったコードであれば、解析速度はさらに向上する。
さらに厄介なのがパッチ解析だという。メーカーがセキュリティパッチを公開すると、AIは即日でその修正内容を解析し、未適用ソフトの脆弱性を特定して攻撃に利用できる。「人間は腕が良くても解読に1カ月かかっていたが、AIは即日で解読し攻撃可能になる」と西尾氏は指摘する。
「フロンティアAIの登場で、プログラム解析が容易になり、ゼロデイのコストと時間が激減している。その結果、メーカー側はパッチ対応に追われている。また、ユーザー企業も大量のパッチ適用で業務がひっ迫し、パッチ適用までの猶予期間も極端に短くなっている」（西尾氏）。
日本企業が直面する専門人材の壁
こうした状況を踏まえ、西尾氏はアタックサーフェスマネジメントや次世代のパッチマネジメントシステムが求められると主張。また、そのアプローチは開発者側とユーザー企業側の2段階で考える必要があると話す。まずは、開発者や研究者がフロンティアAIで脆弱性を発見し、パッチの開発にもフロンティアAIを活用する構図だ。
ただ、日本でClaude Mythosのアクセス権を得た企業では、「コードを渡せば脆弱性を教えてくれると思っていたが違った」と漏らしているという。これに対し西尾氏は、「フロンティアAIは万能ではなく、強力な計算機と考えるべき」と強調する。「フロンティアAIを用いて脆弱性探索をするのであれば、それがなくても脆弱性探索できるナレッジが必要。そのナレッジを拡張し、高速化するのがフロンティアAIだ。また、フロンティアAIを活用するオペレーション能力も必要となる」と西尾氏は述べている。
米国では、AIの活用方法がわからない場合、AIの提供元にFDE（Forward Deployed Engineer）というAI活用の専門性を持った人材を派遣してもらうケースがあるという。「日本ではそのような人材が少ないため、圧倒的な知識の差として露呈している」と西尾氏は述べ、AI活用の前提となる人材育成の重要性を強調した。
一方のユーザー企業側は、大量のパッチを前に、適用優先度をつけて計画的に対応する必要があるが、CVSS単体での評価は限界に達している。そこで西尾氏は、「今後は脆弱性がすでに悪用されているかどうかを示す脆弱性悪用実態指標（KEV）や、攻撃に使われる確率を示すEPSS、攻撃経路上の位置を評価する到達可能性指標、さらにはパッチ適用難易度指標やビジネスインパクト指標など、複数の指標を組み合わせて優先度を算出する必要がある」とした。
また西尾氏は、アタックサーフェスマネジメントを用いて保有資産を整理し、既知の脆弱性の残存を確認し、パッチマネジメントシステムとサイバー脅威インテリジェンス（CTI）を組み合わせてパッチの優先度を算出することもできると話す。これにより、例えば500のパッチがあった場合でも、まず1カ月で対応すべき100件を抽出するなど、現実的な計画が立てられるという。
パッチ適用優先か、テスト優先か
西尾氏は、パッチ適用とテストの優先順位を巡る経営判断の難しさにも触れた。米国では、事前テストを最小限にして素早くパッチを適用した結果不具合が生じるケースと、システムの不具合を恐れて事前テストを優先した結果パッチ適用前に攻撃を受けて損害を被るケースのどちらを選ぶべきかという議論があるが、西尾氏は「間違いなくパッチ適用を優先すべき」と断言する。
しかし、日本ではSIerとの責任分界点が曖昧で、ユーザー企業もSIerも優先順位を決めきれない状況だ。そこで西尾氏は、「ユーザー企業側から優先度を明確に提示して適用を指示するか、SIer側から適切な提案をする必要がある」と語り、AI時代の脅威に備えるためにもパッチ運用のあり方を議論し見直すべきだとした。