会社情報 採用情報
サービス・製品

サービス・製品

サービス・製品一覧

ソリューション

テクノロジー

サービス
セキュリティ監視

セキュリティ監視

セキュリティ監視一覧
診断・調査

診断・調査

診断・調査一覧
導入事例
コラム
お知らせ
ソリューション ネットワークセキュリティ ゼロトラストセキュリティ エンドポイントセキュリティ クラウドセキュリティ IDセキュリティ 脆弱性管理
テクノロジー SASE UTM EDR CNAPP IDP PAM SIEM ASM WAF
サービス セキュリティ監視 脆弱性診断 調査・分析 セキュリティアドバイザリー
SOCサービス MDRサービス マネージドSIEMサービス
Webアプリケーション診断 プラットフォーム診断 ぺネトレーションテスト LLM診断 CNAPP運用支援 ASMサービス ダークウェブ調査 セキュリティアドバイザリー
導入事例
コラム
お知らせ
企業理念 サービスモデル 代表メッセージ 会社概要 沿革 取引先 関連会社
採用情報
お問い合わせ
コラム

2026.08.28

「腕利きの攻撃者」はもう必要ない ― 脆弱性発見は AI が独占する時代｜セキュアエッジ株式会社ー新時代のネットワーク・セキュリティソリューションー

サムネ

「腕利きの攻撃者」はもう必要ない時代へ

熟練の攻撃者やセキュリティ研究者が、経験と時間をかけてようやく見つけ出すような脆弱性。それを AI が、専門知識を持つ人間の手を借りずに、しかも短時間で発見してしまう ― そんな時代が現実になり始めています。Anthropic の「Mythos」は、人手によるレビューや既存ツールの検査を 27 年間すり抜けてきた OpenBSD の脆弱性を発見し、さらに悪用可能な攻撃コードの生成までを自律的に行える能力を実証しました。もちろん、人間の専門性がすべて不要になるわけではありません。しかし「脆弱性を見つける」という、これまで経験と勘がものを言う仕事だった工程においては、優位性が急速に AI 側へ移りつつあります。

Mythos が実証した AI による exploit 生成能力の飛躍

Anthropic の評価では、Mythos が主要 OS・ブラウザで数千件規模の重大な脆弱性を発見しました。その中には、人手によるレビューや既存の検査ツールを 27 年間にわたってすり抜けてきた OpenBSD の脆弱性も含まれています。

さらに Firefox エンジンに対する検証では、試行の 72.4% で権限奪取に至る完全な exploit を自動生成できることも確認されました。

Firefox JS エンジンの悪用実証実験

Mythos クラスのモデルは脆弱性の発見だけでなく、悪用に直結する攻撃コードの生成までを自律的に行えるようになってきました。

UK AISI 外部評価：Mythos による多段階攻撃シナリオの成功

UK AISI（英国 AI 安全機構）による評価では、Mythos はエキスパートレベルの CTF（Capture the Flag）課題を 73% の確率で突破し、専門家でも 20 時間程度かかる 32 ステップの企業ネットワーク攻撃シナリオを最初から最後まで完全に解いた初めてのモデルとなりました。

Mythos の自律攻撃は、防御の弱いシステムであれば攻撃を完遂できる可能性を示しました。

最新データ：悪用までの短縮化と「手動対応の限界」

脆弱性の悪用スピードは年々加速しており、2025 年には悪用がパッチ公開前に始まる（平均 -7 日）状態となりました。一方、既知の脆弱性の修正完了には平均 43 日を要しており、対応が悪用のスピードに追いついていません。この状況を受け、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）は 2026 年 6 月 10 日、米国連邦機関向けの最重要脆弱性のパッチ期限を 14 日から 3 日へ短縮しました。また、脆弱性の悪用（Exploit）は全侵入経路の 32% を占め、6 年連続で 1 位となっています。

AI モデルによる脆弱性発見の事例

脆弱性の発見・修正を支援する AI ツールの実用化も進んでいます。Google の「Big Sleep」は実環境の脆弱性を 20 件以上発見し、SQLite の重大なゼロデイ脆弱性を悪用される前に検知・阻止しました。また、同社の自動パッチ生成 AI「CodeMender」は大規模 OSS プロジェクトに 72 件の修正を自動生成・提案しました。

他には、OpenAI が検証済みの防御担当者限定で PoC コードを生成可能な「GPT-5.5-Cyber」の提供を開始し、Anthropic も安全機構を備えた Mythos クラスの「Fable 5」を一般公開しました。

AI モデルを悪用した攻撃事例

攻撃側も AI の能力向上を悪用しています。Anthropic が悪用停止済みアカウント 832 件を分析した調査では、AI 悪用により攻撃スキルの低い攻撃者でも高スキルの攻撃者に近い手法を扱えるようになりつつある傾向が確認されました。さらに Anthropic は、中国の国家支援グループが Claude Code をジェイルブレイクし、攻撃工程の 80～90% を自律化した形で約 30 の企業・政府機関への侵入を試行したキャンペーン（GTG-1002）を報告しています。

また、Google は北朝鮮や中国など複数の国家支援アクターによる AI モデルの悪用を確認しており、脆弱性データを組み込んで脆弱性発見に利用する事例も見られます。

対策の全体像

今後、他社の AI モデルにも Mythos 同等の能力が広がっていくと見られ、企業は脆弱性の大量発見時代を前提とした備えが必要です。対策は「脆弱性管理（脆弱性を修正する）」「露出管理（攻撃面を減らす）」「侵入前提の対策（ゼロデイ対策）」の 3 本柱で整理できます。

脆弱性管理・露出管理・侵入前提の対策の3本柱

脆弱性管理

脆弱性管理を高度化・自動化する仕組みとして、クラウド開発環境の設定不備の検出やリスクの統合管理を行う「CNAPP」やアプリケーションに対する SAST/SCA/IaC スキャン等の結果を統合管理し、リスクを可視化・優先順位付けする「ASPM」が挙げられます。AI による検出・修正支援を組み込めるようなモダンな脆弱性管理の体制を整備することで、より実効性の高い管理体制を構築できます。

露出管理

露出管理においては、インターネットに公開されている Web や VPN、クラウド資産などを発見する「EASM」と、社内・クラウドを含む全資産の情報を統合的に可視化する「CAASM」が有効です。これにより、シャドー IT や放置サーバー、パッチ未適用資産など、把握されていない資産・状態を特定できます。また、そもそもの攻撃を到達させないために、認証強化やゼロトラスト、不要ポート・ドメインの廃止といった「攻撃面の縮小」も有効な手段です。

侵入前提の対策

ゼロデイ攻撃はパッチによる事前防御が及ばないため、「侵入されること」を前提とした備えが欠かせません。EDR/XDR や SOC 監視によって侵入後の不審な挙動を早期に検知し、マイクロセグメンテーションで被害の及ぶ範囲を局所化し、インシデント対応の体制をあらかじめ整えておくことで、ゼロデイ攻撃を受けても被害を最小限に抑えることができます。

まとめ

Mythos が AI による脆弱性発見・攻撃能力の飛躍を実証したことで、脆弱性の発見から攻撃の完遂までを自律的に行える AI モデルが、今後他社製品にも広がっていくと見込まれます。企業には、脆弱性管理の自動化、露出管理による攻撃面の縮小、そして侵入前提の対策によるゼロデイ攻撃への備えが求められます。

脆弱性を「見つける」工程における人間の優位性は急速に薄れていく一方で、見つかった脆弱性にどう向き合い、侵害をどう検知し、どう対応するかという工程は、依然として組織としての備えが問われる領域です。AI による脆弱性の大量発見時代を前提に、今のうちから体制を見直しておくことが重要です。当社では、こうした企業の体制の見直しやセキュリティ全般の支援もしておりますので、ご検討の際はセキュアエッジ株式会社にお気軽にお問い合わせください。

参考

本記事は、主に以下の情報を参考にしています。