ニュースの概要
プログラミング言語PHPで見つかった二つの重大な脆弱性のうち一つは、OpenAIの高性能なAIモデルを使って発見されたものだった。AIが人間の研究者より速く、広い範囲でソフトウェアの弱点を探せることを示す象徴的な事例とされる。Cyber Threat Allianceの専門家は、この流れが加速すれば脆弱性の発見件数が急増し、企業や政府が修正作業に追われる「混乱期」が始まりかねないと警告している。AIは守る側のコード点検にも使える一方、攻撃者の武器にもなる。発見の速度と修正の速度の差が、これからの最大の問題になりそうだ。
引用元: AIによる脆弱性発見が加速、専門家が「混乱期の始まり」と警告（AFP）
分析・見解
発見が速くなるほど、修正の遅れが目立ってくる
今回の事例で本当に重要なのは、AIが脆弱性を見つけたことそのものではない。見つかる速度が、直す速度を大きく超え始めたことだ。
これまでの脆弱性発見は、熟練の研究者が数週間かけてコードを読み込む、手間のかかる仕事だった。人数が限られるため、発見数にも自然な上限があった。AIはその上限を外す。同じ作業を昼夜を問わず、何千ものプロジェクトに並行して当てられるからだ。
PHPは、世界中のサイトに影響が及ぶ典型例
PHPはWebサイトの裏側で広く使われている。ある調査では、世界のWebサイトの7割以上がPHPで動くとされる。ここに重大な欠陥が見つかれば、影響を受ける範囲は桁違いに広い。
2021年のLog4j事件を思い出してほしい。小さな部品の欠陥が、世界中の企業システムに連鎖した。あの時は一つの脆弱性で、多くの組織が数か月にわたり対応に追われた。AIの発見力が上がれば、同規模の問題が複数同時に出る可能性がある。
攻撃側と防御側の競争は、どちらが先に自動化するかで決まる
AIは防御側にも攻撃側にも使える。違いは、守る側には修正という重い工程が残る点だ。攻撃者は欠陥を一つ見つければ足りる。守る側は、見つかった欠陥を検証し、修正を作り、全利用者に配り、各社が適用するところまで終えなければならない。
つまり発見の自動化だけでは守りは強くならない。検証、修正案の作成、配布まで自動化が及んで初めて、競争は互角に近づく。この「修正の自動化」こそ、今後数年の技術競争の中心になるだろう。
技術的負債という古い請求書が、一斉に届く
記事の見出しが示す通り、これは「技術的負債（＝後回しにしてきた改修のツケ）」が回収される局面でもある。古いコードや、保守が止まった部品は、これまで誰にも調べられないから安全に見えていた面がある。AIが安く徹底的に調べられるようになれば、隠れていた欠陥が一気に表に出る。
過去に何度も先送りした更新作業が、まとめて期限を迎える。そう捉えると、この問題は技術の話であると同時に、経営判断の話でもある。
ビジネスへの影響
修正の優先順位を決める仕組みを先に作る
脆弱性の件数が増えると、すべてを即座に直すことはできなくなる。大切なのは、どれから直すかを素早く決める仕組みだ。
まず自社が使う部品の一覧（＝ソフトウェア部品表）を整えたい。PHPのような基盤が何のシステムでどの版を使っているか分からなければ、速報が出ても動けない。次に、インターネットに公開している機能、顧客情報を扱う機能から順に直す、という基準を平時のうちに文書化しておく。
古い部品の整理を、先送りせず予算に載せる
AIによる調査の対象になりやすいのは、保守が止まった古い部品だ。更新が難しいシステムは、使わない機能を止める、外部から直接触れない位置に置く、といった守りを固めて被害の範囲を狭める。
経営層には、更新費用を「コスト」でなく「将来の緊急対応費を減らす投資」として説明するとよい。緊急対応は夜間や休日の作業になり、通常の何倍もの費用がかかる。
同時に、自社でもAIによるコード点検を試す価値がある。攻撃者が使う前に、自分たちで弱点を見つけて直せるからだ。ただし結果の確認は必ず人が行い、誤検知に振り回されない運用ルールも合わせて決めておきたい。
