AI の脆弱性発見が修正速度を上回る時代へ：Microsoft と Anthropic の攻防

導入

ソフトウェアセキュリティの現場で、AI は発見の速度を大きく押し上げている。Ars Technica が ProPublica の報道をもとに伝えたところによると、Microsoft は Anthropic の Claude Mythos Preview を使い、主要製品のコードから大量の脆弱性を見つけている。問題は、発見そのものではなく、修正がその速度に追いつくかどうかだ。

重要なポイント

• 発見量が急増している：報道では、Mythos が 4 月だけで SharePoint から 90 件の「重大」脆弱性と 141 件の「重要」脆弱性を見つけたとされる。5 月前半にもさらに多くの問題が検出された。SharePoint は政府や企業で広く使われるため、影響範囲は大きい。
• Microsoft は優先順位を付けて修正：同社はまず重大・重要な脆弱性を修正し、その後に約 300 件の中程度の問題へ進む計画だと報じられている。Microsoft は、悪用可能性や顧客への影響などを踏まえて判断しているとしている。
• 低リスクの見え方が変わる：素材では、Mythos が複数のバグを連鎖させる経路を見つけられる点が示されている。単体では低・中程度に見える欠陥でも、組み合わせによって深刻な攻撃経路になる可能性がある。
• 公開パッチにも圧力が表れている：Microsoft の Patch Tuesday では、6 月に 200 件超、7 月 14 日には 600 件超の修正が公開されたと報じられた。その多くは重要または重大に分類されている。

意味と影響

今回の事例は、AI セキュリティの二面性をよく示している。防御側は、攻撃者より先に脆弱性を見つけて修正できる可能性を得る。一方で、同様の能力が攻撃者や国家系の組織に広がれば、脆弱性の発見から悪用までの時間も短くなる。

ソフトウェア企業にとって、今後のボトルネックは発見ではなく、検証、修正、回帰テスト、配布の工程になるかもしれない。AI が脆弱性探索を高スループット化するほど、従来の深刻度分類やリリース体制は再設計を迫られる。

利用企業にとっても、パッチ管理の重要性は増す。単独では緊急度が低く見える脆弱性でも、他の欠陥と組み合わされると危険度が変わる。今後は深刻度だけでなく、外部露出、悪用可能性、連鎖的な攻撃経路をまとめて評価する必要がある。

これは Microsoft だけの問題ではない。AI によって防御側の能力は高まるが、攻撃側も同じ方向へ進む。優位に立つのは、発見を迅速で安全な修正へ変換できる組織だ。

出典：Ars Technica AI