AIがWindowsの脆弱性を発見：MicrosoftのMDASHがPatch Tuesdayで16件を検出

Microsoftが2026年5月の**Patch Tuesday（毎月のセキュリティ更新）**で公開した修正の裏側で、サイバーセキュリティの新しい流れを示す出来事がありました。

同社によると、AIを使った新しい脆弱性探索システム MDASH（Microsoft Security Multi‑model Agentic Scanning Harness） が、Windowsの未知の脆弱性16件を発見。その中には 重大なリモートコード実行（RCE）脆弱性が4件含まれていました。

これは、AIが単なるコーディング支援ではなく、OSの深いレイヤーに潜むセキュリティ欠陥を発見する実用ツールとして機能し始めたことを示す事例として注目されています。

MDASHが発見した脆弱性

MDASHの解析は主に、Windowsのネットワークや認証関連コンポーネントに集中していました。これらは攻撃者にとって重要な侵入口になることが多い領域です。

AIの支援で見つかった脆弱性には、次のようなコンポーネントが含まれていました。

• WindowsカーネルのTCP/IPネットワークスタック
• Internet Key Exchange v2（IKEv2）
• Netlogon認証サービス
• DNS APIライブラリ

特に**リモートコード実行（RCE）**は危険度が高く、攻撃者が遠隔から任意のコードを実行できる可能性があります。成功すれば、PCや企業ネットワークを完全に掌握される恐れがあります。

これらの問題は、2026年5月のPatch Tuesday更新に含まれた修正の一部として公開されました。この月の更新では約120件の脆弱性が修正されています。

MDASHとは何か

MDASHはMicrosoftが開発したAIベースの脆弱性発見プラットフォームです。

特徴は、単一のAIモデルではなく、**100以上の専門AIエージェントを協調させる「マルチエージェント方式」**を採用している点です。

このシステムは以下のチームによって開発されました。

• Microsoft Autonomous Code Security チーム
• Windows Attack Research and Protection グループ

目的はシンプルで、Windowsのような巨大なコードベースから、人間だけでは見つけにくい脆弱性を高速に見つけることです。

マルチエージェント型の解析プロセス

公開情報によると、MDASHは複数段階のパイプラインで脆弱性を調査します。

主な流れは次の通りです。

1. 準備と脅威モデリング
ソースコードを取り込み、攻撃されやすい箇所を特定するための攻撃面（attack surface）モデルを作成します。

2. 大規模スキャン
多数の監査エージェントが並行してコードを解析し、潜在的な脆弱性の仮説と証拠を生成します。

3. エージェントによる検証・議論
別のAIエージェントが結果を検証し、「本当に脆弱性か」を議論する形でチェックします。

4. 重複排除
意味的に同じ結果をまとめ、同一バグの重複報告を削減します。

5. 脆弱性の証明
最後に実際にトリガーを試み、攻撃が成立する証拠を生成します。

この流れは、人間のセキュリティ研究者が行う「仮説 → 検証 → 実証」という調査プロセスを、AIが自動化して高速化した形と言えます。

ベンチマーク結果

初期テストでは、MDASHは脆弱性発見のベンチマークでも高い性能を示しました。

報道によると、同システムはCyberGymの脆弱性ベンチマークで約88%のスコアを記録しています。

さらに内部テストでは、サンプルドライバーに埋め込んだ脆弱性をすべて検出する結果も報告されています。

もちろん、ベンチマーク結果がそのまま実運用の精度を保証するわけではありません。しかし、大規模コードベースでもAIエージェントが有効に機能する可能性を示しています。

初の実戦的な成果

今回の重要なポイントは、MDASHの成果が研究室のデモではなく、実際のWindowsアップデートに反映されたことです。

AIが発見した脆弱性が、実際の製品コードの修正につながったケースはまだ多くありません。

今回の結果は、AIが次のような領域でも役立つことを示しています。

• OSのネットワークスタック
• 認証インフラ
• ドメイン管理関連機能

いずれも攻撃者が最も狙う重要な部分です。

Microsoftの「AIスピード防御」戦略

MicrosoftはMDASHを、より大きなセキュリティ方針の一部として位置付けています。

同社が掲げるのは、**「Defense at AI speed（AIの速度で防御する）」**という考え方です。

もし攻撃者がAIを使って脆弱性を高速発見できるなら、防御側も同じ技術で先に問題を見つけて修正する必要がある、という発想です。

MDASHは今後、企業向けにプライベートプレビューとして公開される予定です。

もし普及すれば、AIはセキュリティチームの補助ツールではなく、次のような役割を担う可能性があります。

• 巨大なコードベースの自動監査
• バグ発見から修正までの時間短縮
• 人間の研究者の仮説生成や検証の支援

つまり将来的には、AIエージェントが常時コードを監視する“常駐セキュリティ研究者”のような存在になるかもしれません。

2026年5月のPatch Tuesdayは、その未来がすでに始まりつつあることを示す象徴的な出来事と言えそうです。