AIの脆弱性発見でCVEが66,401件に

ニュースレター「Kernel Panic」が、AIがデジタルセキュリティをどう変えつつあるかに焦点を当てて創刊された。長年、AI終末論者はソフトウェア脆弱性の黙示録を懸念してきたが、記事によれば関心は暴走したAIが大量の人間の死をもたらすことへと移っている。一方で、既存のAIツールによる脆弱性の波はすでに到来している。

数字がそれを裏づける。Microsoftの1か月で974件のCVEパッチは記録的だった。Oracleは7月に1,448件のパッチを配信し、2025年7月の309件と比べて大幅に増えた。Google Chromeの6月の2大リリースには1,072件のパッチが含まれ、それ以前の23の大型リリースの修正すべてを合わせた数を上回った。MozillaはAnthropicのMythosモデルを使い、1回のスプリントでFirefoxの271件の脆弱性を発見した。全体として、cve.icuは今年66,401件のCVEを記録し、昨年9月16日までに記録された33,512件のほぼ2倍だ。

これが破滅的なのか、単に既存の力学を拡大しているだけなのかについて専門家の意見は分かれる。Empirical SecurityのJerry Gamblin氏は、CVEが増えることは既知の脆弱性が増えることを意味し、それはおおむねシステムが機能している証拠だと主張する。だが懸念は、パッチ適用が追いつかないことだ。Gamblin氏が言うように、発見は計算資源に応じて拡大するが、修正は人手に応じてしか拡大しない。重要なのは、防御側が攻撃側と同じようにAIを使いこなせるか、そして人手不足のセキュリティチームが差を埋められるかどうかにかかっている。