AIがソフトウェア脆弱性の大波を引き起こす
原題: Forget the AI Slowdown—the Vulnerability Explosion Is Already Happening
なぜ重要か
AIによる脆弱性発見の急増はセキュリティ業界全体の対応能力を問い直し、パッチ管理ツールや自動修正技術への需要拡大を後押しする構造変化を示している。
2026年9月時点で、AIを活用した脆弱性発見が急増している。CVE登録数は年初から6万6,401件に達し、2025年同時期の3万3,512件の約2倍。MicrosoftはAI活用後の今月974件のパッチを発行し記録を更新。OracleやGoogle Chrome、Mozillaも類似の急増を報告している。
AI開発の減速論争が続く一方で、既存のAIツールがもたらすサイバーセキュリティへの影響はすでに現実のものとなっている。
脆弱性の発見数が急増している。セキュリティ研究機関Empirical SecurityのJerry Gamblin氏によれば、2026年9月半ばまでに登録されたCVE（共通脆弱性識別子）の総数は6万6,401件。昨年同時期は3万3,512件であり、わずか1年で約2倍に膨らんだ。ChatGPTが初めてリリースされた2022年の年間CVE数が2万5,000件だったことと比較すると、増加幅は際立つ。
個別企業の数字も目を引く。Microsoftは今月だけで974件のパッチを発行し、同社の月間記録を更新。Oracleは2026年7月に1,448件のパッチを出荷したが、前年同月は309件にすぎなかった。Google Chromeは6月の2度のメジャーリリースで計1,072件のパッチを適用し、その数は過去23回のメジャーリリース分の合計を上回る。Mozillaも4月、AnthropicのMythosモデルを使った1回のバグハンティングスプリントでFirefoxに271件の脆弱性を発見したと発表した。
こうした数字の背景には、オープンウェイトモデルを含む主流AIツールの普及がある。AIドーマーたちはかつて「ソフトウェア脆弱性の黙示録」を懸念していたが、今では「フロンティアモデル開発の協調的減速」に議論が移りつつある。しかし、Gamblin氏は「CVEの増加それ自体が害ではない。既知の脆弱性が増えることは、むしろシステムが正常に機能している証拠だ」と指摘する。
一方で懸念もある。脆弱性発見のペースが上がれば、パッチ適用が追いつかなくなるリスクも高まる。リソースが乏しいIT・セキュリティチームや、重要なオープンソースソフトウェアを維持するボランティアへの負荷は増すばかりだ。専門家の間では、この状況が既存課題を拡大するものにとどまるのか、それとも質的に新たなリスクをもたらすのかについて、見解が分かれている。