VMware Japanが公開した解説記事は、AIが攻撃側の能力を根本から変えつつある現実を浮き彫りにしました。脆弱性の発見から攻撃準備までのプロセスが自動化され、従来は数週間かかっていた攻撃準備が数時間で完了する事例も報告されています。この変化は一時的なトレンドではなく、今後も加速し続ける構造的な脅威環境の転換点として位置づけられています。
参考: AIによるサイバー脅威が脆弱性発見の速度を押し上げ、対策インフラの再設計が急務に（VMware Japan）
分析・見解
今回のVMwareの指摘で最も重要なのは、攻撃側と防御側の時間軸が決定的に乖離し始めている点です。従来、CVEが公開されてから実際の攻撃コードが出回るまでには平均2〜4週間の猶予がありました。この間に企業はパッチを適用し、WAFルールを更新し、監視体制を強化できました。しかしAIによる自動脆弱性スキャンと攻撃コード生成により、この猶予は数時間から数日へと圧縮されています。
特に深刻なのは、脆弱性発見そのものが民主化されている点です。以前は高度な技術者だけが発見できた脆弱性を、今やAIツールが大規模かつ並列に探索します。これは既知の脆弱性だけでなく、ゼロデイの発見率も押し上げます。実際、2025年後半から「AIが発見した可能性が高い」と分類されるゼロデイ攻撃の報告が前年比で約40%増加しています。
この状況下で従来型の「検知→分析→判断→対応」という人間主導のフローは根本的に機能不全に陥ります。VMwareが指摘する「防御基盤の再設計」とは、単にAIツールを導入することではなく、検知から修復までのパイプライン全体を自律型にすることを意味します。SOARやXDRといった既存の自動化ソリューションも、AI脅威を前提とした設計ではないため、判断ロジックやレスポンスタイムの見直しが必須です。
今後、セキュリティ投資の優先順位は「事後対応の高速化」から「継続的な予防と自己修復」へとシフトします。脆弱性が悪用される前提で設計されたゼロトラスト、マイクロセグメンテーション、リアルタイム脅威ハンティングが標準装備となる時代が到来しつつあります。
ビジネスへの影響
経営層が直ちに着手すべきは、現在のセキュリティ運用がAI駆動型攻撃に耐えられるかの診断です。特に、脆弱性が公開されてから実際にパッチが全システムに適用されるまでの平均時間が48時間を超えている企業は、攻撃を受けるリスクが極めて高い状態にあります。
投資面では、従来のエンドポイント保護やファイアウォールの更新よりも、SOAR基盤の導入、脅威インテリジェンスの自動統合、インシデント対応の自動化に予算を割くべきです。また、セキュリティ人材の不足が深刻化する中、AIによる自動化は選択肢ではなく必須要件となります。人材採用が困難な企業ほど、早期に自動化基盤へ投資することが競争優位につながります。
サプライチェーンセキュリティも見直しが必要です。自社が対策を講じても、取引先のシステムが脆弱であれば連鎖的に被害を受けます。契約条項にセキュリティ対応時間の基準を盛り込むなど、エコシステム全体での対策水準の底上げが求められます。