答え公開済み15 ソース
AIの脆弱性発見が加速、次の課題は「直して届ける」こと
Palo Alto Networksは、AIで未発見のオープンソース脆弱性を1万4,000件超見つけ、3週間で手動の侵入テスト1年分に相当する成果を得たと報告。Anthropicも約6カ月で29,000件超の候補を見つけた一方、人が確認・分類したのは約6,000件です。 発見数が増えても、脆弱性の再現、影響の評価、修正、テスト、配布には人手が必要です。Anthropicの無料OSS Scannerは、参加プロジェクトに人の事前確認なしで報告を届けます。
公開者GPT-6 Luna で編集GPT Image 2 で画像を生成
研究の答え
重要なポイント
- Palo Alto Networksは、AIで未発見のオープンソース脆弱性を1万4,000件超見つけ、3週間で手動の侵入テスト1年分に相当する成果を得たと報告。Anthropicも約6カ月で29,000件超の候補を見つけた一方、人が確認・分類したのは約6,000件です。
- 発見数が増えても、脆弱性の再現、影響の評価、修正、テスト、配布には人手が必要です。Anthropicの無料OSS Scannerは、参加プロジェクトに人の事前確認なしで報告を届けます。
- Epoch AIの実験では、公開済みながら利用者に未配布の修正情報を手がかりに、AIモデルGLM 5.3がFirefoxの6つのリリースに対する攻撃を作成。実験室での検証であり、実際のFirefox利用者への攻撃を示すものではありません。
- AIが防御側の発見を助ける一方、攻撃の準備も速める可能性があります。重要なのは、報告を確かめ、修正を広く迅速に届ける仕組みです。
AI プロンプト
openai.comCreate a landscape editorial hero image for this Studio Global article: As of October 31, 2026, how is AI-driven vulnerability discovery transforming software security, including Palo Alto Networks’ discovery of. Article summary: As of October 31, 2026, AI-driven vulnerability discovery is making security research much faster, while shifting the bottleneck toward human validation, remediation and patch deployment—and creating opportunities to exp. Topic tags: general, general web, user generated, news, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermark
AIは、ソフトウェアの脆弱性を見つける速度を押し上げています。しかし、欠陥を発見することと、確かめて修正し、利用者に更新を届けることは別の作業です。いま問われているのは、増え続ける発見をどう安全な修正につなげるかです。3
見つかる数が増え、人の確認が追いつかない
Palo Alto Networksは、AIを使って未発見のオープンソースソフトウェアの脆弱性を1万4,000件以上特定し、手作業による侵入テスト1年分に相当する分析を3週間で行ったと The Economic Times に説明しました。19 これは同社が報告した成果であり、ここで参照できる情報だけでは、独立した検証済みの比較結果とは確認できません。
Anthropicの数字も、候補の多さと修正の進み具合を分けて見る必要性を示しています。同社によると、約6カ月でモデルが見つけた脆弱性の候補は29,000件を超えた一方、人が確認・分類できたのは約6,000件でした。 候補として挙がったものがすべて確認済みの脆弱性とは限らず、確認された脆弱性がすでに修正されたとも限りません。
Anthropicの「OSS Scanner」は、対象となるオープンソースプロジェクトが申し込むと、Claude Mythosを含む同社のモデルによる定期スキャンを無料で受けられるサービスです。報告は人による事前確認を経ず、参加プロジェクトに届きます。 発見を早く共有できる一方、報告の量や精度をどう扱うかは、受け取る側にとって重要な課題になります。なお、10月2日時点の正確な候補数や、上流プロジェクトに取り込まれた修正の件数については、ここで確認できる資料だけでは特定できません。
発見の先にある、検証と修正の仕事
Anthropicは、人による確認能力が制約になっていると説明しています。TechTargetも、OSS Scannerによって脆弱性対応の負担がメンテナー側に移る可能性を指摘しています。 報告を受けた後には、問題を再現し、影響を評価し、修正を作り、テストして公開する作業が残ります。報告数が増えるだけでは、その工程が完了したことにはなりません。
セキュリティ対応に割ける人手が限られるプロジェクトでは、再現手順や影響範囲が明確で、優先順位を判断しやすい報告が役立ちます。オープンソースを利用する企業が、その保守やセキュリティ対応を支えることも選択肢です。電子フロンティア財団（EFF）は、オープンソースプロジェクトへの支援拡大を呼びかけています。 一方、メンテナーの燃え尽きや、特定プロジェクトの人員変更に関する具体的な主張は、ここで参照できる資料からは確認できません。
修正の情報が、攻撃の手がかりになることも
AIによる脆弱性発見は防御に役立つ一方、修正内容が攻撃者に手がかりを与える可能性もあります。Epoch AIの報告によると、Z.aiの公開モデルGLM 5.3は、公開済みながら利用者にはまだ配布されていないFirefoxの修正情報を使い、6つのリリースに対する動作する攻撃を作成しました。攻撃1件あたりの追加コストは約1,000ドルとされています。3
これは管理された環境での実験であり、Firefox利用者が実際に攻撃されたことを示すものではありません。ただし、修正情報が公になってから更新が利用者に届くまでの「パッチギャップ」を、攻撃側が利用しうることを示しています。二次報道によれば、Mozillaは関連する脆弱性にFirefox 159.0で対処しました。2
9
この結果は、修正情報を公開すること自体が危険だという意味ではありません。利用者を守るには修正の公開が必要です。重要なのは、技術情報が短時間で分析される可能性を踏まえ、更新を速やかに配布し、適用してもらうことです。3
大量の修正件数は、数字の読み方にも注意
10月のMicrosoftの月例セキュリティ更新では、集計方法の違いにも目を向ける必要があります。Microsoftのリリースノートは1,468件のCVEを記載する一方、Veracodeは今回のリリースで1,413件の脆弱性に対処したと報告しています。参照できる資料からは、この差を説明できません。 Veracodeはまた、更新に、実際に悪用されていたWindows Shellのセキュリティ機能回避の脆弱性が含まれるとしています。 件数だけでは、増加の理由や、AIが発見に関わった問題の数までは分かりません。
対応に必要な時間を示す別の例として、CERT-EUによると、PHPプロジェクトは10月20日に2件の重大な脆弱性を発表し、翌日に修正を公開しました。 Reutersは、AIが発見する脆弱性によってさらなる混乱が起こる可能性を、7人のサイバーセキュリティ専門家が警告したと報じています。17 これは将来の影響への警告であり、AIによる発見が必ずインシデントにつながるという証明ではありません。
発見の速さだけでは、安全性は決まらない
AIは防御側の発見を早める一方、Firefoxの実験が示すように、攻撃の組み立ても加速させる可能性があります。3 参照できる情報からは、全体としてどちらが優位になるかは判断できません。当面の課題は、発見を適切に選別し、修正を迅速に作り、広く配布することです。報告が増えるだけで、メンテナーや利用者の前に大きな未処理の列ができてしまわないようにする必要があります。
Studio Global AI
研究を続けてください
このページにはソースに裏付けされた回答が含まれており、Studio Global 内で続行できます。
人々も尋ねます
「AIの脆弱性発見が加速、次の課題は「直して届ける」こと」の短い答えは何ですか?
Palo Alto Networksは、AIで未発見のオープンソース脆弱性を1万4,000件超見つけ、3週間で手動の侵入テスト1年分に相当する成果を得たと報告。Anthropicも約6カ月で29,000件超の候補を見つけた一方、人が確認・分類したのは約6,000件です。
最初に検証する重要なポイントは何ですか?
Palo Alto Networksは、AIで未発見のオープンソース脆弱性を1万4,000件超見つけ、3週間で手動の侵入テスト1年分に相当する成果を得たと報告。Anthropicも約6カ月で29,000件超の候補を見つけた一方、人が確認・分類したのは約6,000件です。 発見数が増えても、脆弱性の再現、影響の評価、修正、テスト、配布には人手が必要です。Anthropicの無料OSS Scannerは、参加プロジェクトに人の事前確認なしで報告を届けます。
次の実践では何をすればいいでしょうか？
Epoch AIの実験では、公開済みながら利用者に未配布の修正情報を手がかりに、AIモデルGLM 5.3がFirefoxの6つのリリースに対する攻撃を作成。実験室での検証であり、実際のFirefox利用者への攻撃を示すものではありません。