「パッチパンデミック」で現場が阿鼻叫喚 フロンティアAI時代の脆弱性管理“新常識”：「リスクが低いから後回し」は通用しない（1/2 ページ）

Claude MythosをはじめとしたフロンティアAIの登場で脆弱性管理の常識がひっくり返る未来が来ている。深刻度が高い脆弱性だけに対処する方針が“時代遅れ”になりつつある今、企業が押さえるべき“きほんのき”とは。

[田渕聖人，＠IT]

　「Claude Mythos」をはじめとしたフロンティアAIの登場を背景に、サイバー攻撃と防御を取り巻く時間軸が変わり始めている。AIによって脆弱（ぜいじゃく）性の探索や検証が高速化された一方、複数の弱点を組み合わせた攻撃経路の分析も容易化されている。

　高速化する脅威に対して従来の人手中心のパッチ管理が追い付かなくなる中、どうすれば「マシンスピードの防御」を実現できるのか。

　アクセンチュアは2026年8月7日、メディア向け勉強会「フロンティアAIがもたらしたサイバー攻撃の構造変化― 日本企業は『防御中心』から脱却できるのか ―」を開催した。登壇した同社の藤井大翼氏（執行役員 サイバーセキュリティ 日本リード）が企業が取り組むべき構造改革の方向性を提言した。

「CVSS信仰」を捨てよ　重大な脆弱性だけ対処では全然通用しないワケ

　従来、高度なサイバー攻撃には膨大な試行錯誤が必要だった。未知の脆弱性を探す場合、対象システムを分析し、仮説を立て、実際に試行して結果を確認するという作業を繰り返す必要がある。ただ、フロンティアAIはこの反復作業の一部を高速化できると藤井氏は話す。

　「フロンティアAIモデルが登場したことで、脆弱性発見のプロセスが根本から変わった。強力な推論能力をベースに、数千から数万規模の仮説を同時に推測・生成し、自動で大量のコマンド試行とエラーからの学習を反復できる」（藤井氏）

　重要なのは、AIが新たな脆弱性の発見を「量産する」ということではない。脆弱性や攻撃手法を探索・検証するための試行を、従来より高速かつ大量に実行できるようになることだ。

　ただ、これは防御側にとっても同じだ。AIを活用したコード解析や脆弱性検証、攻撃シミュレーションなどによって、開発・運用環境に潜む問題をより早く発見できるだろう。つまり、フロンティアAIがもたらす変化は攻撃者だけに有利なものではない。問題は、防御側が従来と同じ時間軸で運用を続けていれば、AIによる高速化の恩恵を十分に生かせないことにある。

　これを踏まえたセキュリティ課題として、藤井氏は「フロンティアAI時代に見直す必要があるのが、脆弱性を単体で評価するという考え方だ」と指摘する。

　共通脆弱性評価システム（CVSS）は、個々の脆弱性の深刻度を評価するための重要な指標ではあるが、CVSSのスコアだけで、企業環境における攻撃経路全体のリスクを評価できるわけではない。

　例えば単体では「低・中リスク」と評価される複数の弱点が存在したとする。個々の脆弱性を単独で見れば、最優先で対応すべきものには見えないかもしれない。しかし、ある設定上の問題によって認証を回避でき、別の脆弱性によって権限を拡大でき、さらに別の弱点によって内部ネットワークに移動できる――といったように攻撃者がこれらを一連の攻撃経路として組み合わせられるのであれば、組織に与えるリスクは大きく変わる。

低リスクの脆弱性を組み合わせた攻撃チェーンがますます本格化するだろう（提供：アクセンチュア）

　こうした脆弱性を組み合わせた攻撃チェーンはこれまでももちろん存在していたが、フロンティアAIの登場によってより悪用可能性が高くなるかもしれない。藤井氏は、この点について次のように説明する。

　「AIはCVSSという既存の数字を気にせず、全ての弱点をフラットに評価して組み合わせる。与えられた情報を基に、どの弱点を組み合わせれば目的のシステムに到達できるのかを分析するだけだ」（藤井氏）

　仮にCVSS 5.3の脆弱性によって認証を回避でき、別のCVSS 6.1の問題によって権限を拡大し、さらに別の脆弱性によって内部ネットワークに移動できるとする。これらを個別に評価すれば、いずれも最優先の対応対象とはならない可能性がある。しかし、実際の攻撃経路としてつながっているのであれば話は変わる。

　ここで注意すべきは、CVSSという評価自体が「使えなくなる」ことではない。CVSSのような単体の深刻度評価だけでは、複数の弱点が連鎖した場合の攻撃経路全体を捉えきれない可能性があるということだ。

　防御側が「低・中リスク」として対応を後回しにしていた脆弱性が、別の弱点と組み合わさることで重要な攻撃経路の一部になる。AIの推論能力が高まれば、こうした「点と点のつながり」を短時間で探索できる可能性がある。

　これを踏まえると、フロンティアAI時代の脆弱性管理に求められるのは、重大度の高い脆弱性を優先的にふさぐことだけではない。その脆弱性が実際の環境でどの資産につながり、どのような事業インパクトを生み得るのか。これからは、こうした攻撃経路全体の視点がより重要になると藤井氏は指摘する。

「パッチパンデミック」で現場が止まる　月次運用からの脱却を迫られる企業

　攻撃側の探索や検証が高速化すれば、防御側に残された対応時間も短くなる。脆弱性が公表されてから実際に悪用されるまでの時間が短くなれば、月次・四半期単位のパッチ運用では対応が難しいケースも出てくる。

　従来の脆弱性対応では、資産情報の把握や脅威情報の収集、影響範囲の確認、対応方針の策定、事前検証、パッチ適用といった複数の工程を経ることが多い。しかし短期間で悪用される脆弱性が増えれば、「次回のメンテナンスまで待つ」という判断が許容されないケースも増える。

　さらに問題になるのが、未適用パッチのバックログだ。限られた運用担当者が大量の脆弱性に対応する中で、パッチ適用を次回に繰り越せば、未対応案件が蓄積する。対応すべき脆弱性が増える一方で運用リソースが増えなければ、バックログはさらに膨らむ。

脆弱性が増大すればいずれパッチ適用が追い付かなくなりどんどん適用遅れが生じる（提供：アクセンチュア）

　藤井氏は、こうした現場の状況を「パッチパンデミック」と表現する顧客事例を紹介した。

　「現場では決められたパッチウィンドウ内に処理しきれず、未適用パッチの繰り越しが累積する。ある顧客はこの極限状態を『パッチパンデミック』と表現していた」（藤井氏）

　これは単純に「パッチ作業が多い」という問題ではない。資産の把握から影響範囲の確認や検証、承認、適用までを人手で進めるプロセスそのものが、脆弱性対応の速度を制約しているのだ。

　この問題を深刻化させる要因の一つがIT資産の可視性である。企業によっては、IT部門が管理するインフラと、事業部門が外部ベンダーなどを通じて構築した業務システムが分断され、全社的な資産把握が難しいケースがある。長年にわたって個別最適で構築されたレガシーシステムでは、管理者や構成情報が不明確な資産が残っていることもある。

　「何が、どこに、どのような状態で存在しているのか」が分からなければ、AIを使って脆弱性対応を高速化することも難しい。必要なのは、単にパッチを速く適用することではない。守るべき資産を継続的に把握し、リスクに応じて対応の優先順位を自動的に判断できる環境に移行することだ。