前へ 1 2 3 次へ

フォーティネット・登坂恒夫がビジネス観点で考えるセキュリティ戦略

AIの能力高度化で高まるセキュリティリスク、セキュリティ戦略を根本的に見直すべきとき

【提言】フロンティアAIが生む“脆弱性パッチの波”　企業はパッチ適用プロセスの見直しを

文●登坂恒夫／フォーティネットジャパン（寄稿）　編集●ASCII

  • この記事をはてなブックマークに追加
  • 本文印刷

防御側における喫緊の課題は「パッチ適用プロセスの見直し」

　Anthropic、Project Glasswing、AISIによる評価からは、Mythos Previewが人間のセキュリティ専門家すらも大きく上回るスピードで脆弱性を発見できる能力を持つことが分かります。AnthropicがMythosの一般公開を取りやめたのは、その高度な能力が攻撃者に悪用されるおそれがあるためでした。

　その後、Anthropicの競合企業であるOpenAIやGoogleでも同様に、高度な脆弱性発見能力を備えたAIモデルを開発／リリースしています（GPT-5.4-Cyber、Gemini 3.5 Flash Cyberなど）。ただし、これらも悪用リスクを避けるために、ごく限られた提供先への限定リリースとなっています。

　したがって、サイバー攻撃者たちが今すぐにフロンティアAIの持つ能力を悪用できるわけではありません。むしろ、防御側の企業や組織にとって喫緊の課題となっているのが、ソフトウェアの脆弱性を修正する「パッチ（修正プログラム）の適用」プロセスの見直しです。

　フロンティアAIがこれまでにないスピードで脆弱性を発見するようになれば、それを修正するパッチも頻繁にリリースされるようになり、ソフトウェアを利用する企業には“脆弱性パッチの波”が押し寄せることになります。

　そのため、脆弱性の存在を知った攻撃者が悪用を始める前にパッチを適用して攻撃を防ぐ、スピーディーな対応が求められるようになります。しかし、フォーティネットの脅威インテリジェンスラボであるFortiGuard Labsの分析によると、脆弱性が公開されてから悪用されるまでの時間（TTE：Time-To-Exploit）は、従来は4.76日だったものが、2025年には24～48時間へと大幅に短縮されています。

　Anthropicのセキュリティリサーチチームは、Mythos Previewの評価レポートにおいて、次のようなセキュリティ運用の改善を推奨しています。

・ソフトウェアのパッチ適用サイクルを短縮する。可能であれば、パッチの自動適用（自動更新）を有効にする。
・ソフトウェア開発企業では、AIによる脆弱性発見のスピードと量を考慮したうえで、脆弱性開示ポリシーを再検討する。
・脆弱性の開示が増えるほど、パッチ適用前の期間中に悪用の試行が増えるため、自動化されたインシデント対応パイプラインへの投資を推奨する。

　またAISIでも、「定期的なセキュリティアップデートの適用」「堅牢なアクセス制御」「セキュリティ設定の強化」「包括的なログの記録」といった、サイバーセキュリティの基本的な対策が重要であることをあらためて認識すべきだと結論づけています。

「ビジネスを完全に止めてでも」システムを修正する経営判断ができるか？

　企業はこれまで、重要システムの稼働を止めて業務に影響を与えたり、適用後に不具合が起きたりすることを避けるために、事前に十分なテストを行い、あらかじめ日程を決めてパッチ適用を行うという慎重な姿勢をとってきました。

　しかし、フロンティアAIの出現で“脆弱性パッチの波”が押し寄せるようになると、こうしたパッチ適用プロセスでは運用が回らなくなります。適用するパッチとシステムの数が増えれば、すべてのパッチを漏れなく適用することが難しくなり、優先度の高いシステムや深刻度の高い脆弱性から適用する判断が必要になります。

　さらに、深刻度の極めて高い脆弱性が公表されたり、防御ができず攻撃被害が発生したりした際に、想定される事業リスクに応じて「ビジネスを止めてでも」能動的にシステムを停止して被害を最小限に抑えるといった、リスクベースの運用体制も求められる状況に変わってきています。

　フロンティアAIの登場に端を発するこうした状況変化に、日本政府も危機感を持っています。たとえば、日本の金融庁は2026年5月、日本銀行と連名で、国内の金融機関などを対象に「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応」という要請を行いました。

金融庁／日本銀行による国内金融機関への対策要請

　ここで要請されている具体的な事項は以下の9つです。金融機関はもちろんですが、その他の企業においても対策検討の指針とすべき内容と言えるでしょう。

・フロンティアAIへの対応を経営課題として扱う
・優先的に対応すべきサービス／ITシステムを特定する
・特定した資産の技術負債を解消しておく
・パッチ適用に係る人的リソースを追加する
・ベンダーとの維持保守契約の内容を確認する
・パッチ適用プロセスをリスクベースにする
・パッチ適用以外の対策も強化する
・優先サービス／ITシステムの停止に備える
・外部との連携を維持／強化する

前へ 1 2 3 次へ
Fortinet トップへ

本記事はアフィリエイトプログラムによる収益を得ている場合があります