要約:
ニューヨーク タイムズによると、AI は前例のない速度でソフトウェア セキュリティの脆弱性を発見しており、それらの修正を担当するエンジニアは対応がますます困難になっていると感じています。テクノロジー企業やオープンソース ソフトウェアの保守担当者は、ハッカーが悪用してさまざまな Web サイトやオンライン サービスを保護する前に、脆弱性へのパッチを急いでいます。
10 月 21 日、OpenAI ネットワーク セキュリティの準備とセキュリティ作業の責任者である Fouad Matin 氏は、当初は夕方に友人たちと誕生日を祝う予定でした。
しかし、その日、彼は約 2 時間しか眠れず、AI によって発見された 2 つの重大なセキュリティ脆弱性の修復の調整で忙しかったです。これらの脆弱性が悪用されると、幅広いインターネット サービスに影響が及ぶ可能性があります。処理に関与する人々には、米国やその他の国の政府関係者だけでなく、新興企業やハイテク大手のセキュリティ研究者も含まれます。
彼の To-Do リストには、AI によって発見された修正を待っている抜け穴がさらにあります。
Mateen 氏は、OpenAI はネットワーク セキュリティを担当する複数のチームを配置し、問題を発見して修正するために多量のコンピューティング能力を投資していると述べました。同氏は、AI企業には世界中のソフトウェアを可能な限りスキャンしてパッチを適用することを最終目標として、このテクノロジーによって明らかになったリスクに対処する責任があると考えている。
脆弱性の発見速度が大幅に向上しており、脆弱性を修正する担当者には前例のないプレッシャーがかかっています。
OpenAI によると、同社は今年 5 月に独自のテクノロジーを使用してオープンソース ソフトウェアをスキャンし始めました。それ以来、社内外の研究者がそのモデルを使用して 1,300 を超える脆弱性を発見しました。この種のソフトウェアは無料で使用でき、さまざまなネットワーク サービスに広く導入され、インターネットの多数の機能をサポートしています。
Google はまた、今年 6 月に AI を活用して Chrome ブラウザの 1,072 件の脆弱性を発見して修正しました。これは、過去 2 年間に修正された合計数を超えています。今年の初め以来、Chrome は過去 8 年間を合わせたよりも多くの深刻な脆弱性を修正しました。
Microsoft は、今年 10 月だけで 1,461 件のパッチをリリースしました。これは、2025 年全体の 1,247 件のパッチを超えています。
一部のソフトウェア保守者の目には、この激務な作業はまだ始まったばかりである可能性があります。
Matteo Collina は新興企業 Platformmatic の最高技術責任者であり、オープンソース開発ツール Node.js の保守に携わっています。 Uber や Netflix などのテクノロジー企業がこのツールを使用しています。
「今起こっていることはほんの最初の部分に過ぎず、状況は10倍も悪化するでしょう。」コリーナは言いました。
Node.js をサポートする非営利組織である OpenJS Foundation によると、Node.js は今年、その歴史のどの年よりも多い 50 件のセキュリティ脆弱性を特定し、修正しました。今年 2 月、このプロジェクトには通常の 4.6 倍の脆弱性報告が届きました。
今月、OpenAI は再び Colina に連絡し、新たに発見された脆弱性について警告しました。潜在的な攻撃者がこれを使用して、インターネット上のシステムに侵入し、データを盗む可能性があります。
増え続けるレポートに対処するために、コリーナさんは現在、年中無休で働き、夜間も引き続き AI エージェントにタスクを処理させています。
「この職業が将来どうなるかは誰にもわかりません。」彼は言いました。
これまで、ソフトウェアの脆弱性の発見は個人の経験に大きく依存する仕事でした。ハイテク企業はセキュリティ研究者を雇ってコードをレビューするほか、「バグ報奨金」プログラムを通じてホワイトハットハッカーに問題を発見して報告するよう報酬を支払う。
AI はこの仕事のスピードと価値を変えています。
探索を続けて、人間の研究者が諦めたかもしれない場所を見つけ出すことができます。また、さまざまなコードに散在する小さな欠陥を検査し、それらを組み合わせて危険な攻撃を引き起こすこともできます。
PHP Foundation のセキュリティ エンジニアである Volker Dusch は、これをはっきりと感じています。プログラミング言語PHPを管理する同財団は先週、AIによって発見された深刻な脆弱性を公表した。
Dusch 氏は、2 年前にセキュリティの脆弱性を発見したことは大きな問題だったと述べました。現在、この作品がもたらした同業者間の評価は薄れつつあり、業界全体がこの作品を評価する方法が変わりつつあります。
しかし、脆弱性報告の増加には、重大な追加の負担も伴います。
昨年末以来、オープンソース ソフトウェアの管理者は、レポート数が大幅に増加していることに気づきました。それらの中には、深刻な脅威を明らかにするものもあれば、AI によって生成された、混乱を招き、テストされていない低品質のレポートもあります。
今年 1 月下旬、オープンソース プロジェクトのカールは、殺到する報告に対処できないため、バグ報奨金の支払いを停止すると発表しました。
同時に、AI の攻撃能力により、防御側はますます緊張します。
今年 4 月、Anthropic は、開発した Mythos モデルには強力なハッキング機能があり、安全に一般に公開することはできないと述べました。その後、同社は、Project Glasswing と呼ばれるプログラムを通じて、信頼できる企業や政府機関のグループがシステムを検査してパッチを適用できるように、このモデルを利用できるようにしました。 OpenAI と Google は、サイバーセキュリティに焦点を当てた AI モデルも防御者に提供しています。
しかし、脆弱性を見つけて悪用できるモデルはますます利用可能になりつつあります。
AI 評価会社 Vals AI は最近、模擬攻撃タスクを設定し、モデルが架空の企業に侵入することを要求しました。テスト結果は、承認された防御者のみに公開されている OpenAI の高度なモデルがテスト目標の 81% を完了したことを示しました。続いて、中国企業 DeepSeek の無料で入手可能なモデルが 73% の完成率で続きました。
このような機能が急増するにつれて、シリコンバレーのセキュリティ チームは調査を加速しています。彼らは、同じ脆弱性が近いうちに攻撃者によって発見されるのではないかと懸念しています。
PHP 修復プロセスは、このプレッシャーが誰にかかっているのかを示します。
今年 7 月、サイバーセキュリティ会社 Calif の研究者は AI エージェントに PHP を検査させ始めました。報告によると、Web サイトの約 70% でこのプログラミング言語が使用されています。研究チームは、10 年以上コードに隠されていた脆弱性により、攻撃者が影響を受ける Web サイトで悪意のあるコードを実行できる可能性があることを発見しました。
その後、Calif は Dusch と、同様の脆弱性を発見した Google 所有のセキュリティ会社 Wiz の研究者に連絡を取りました。 OpenAI と PHP Foundation のエンジニアも参加しています。
チームは数週間にわたって機密 Slack チャネルで共同作業し、毎日電話で修正を調整しました。 CalifのCEO、Thai Duong氏は、この修正には約200のファイルが含まれており、大規模なパッチアップデートであると述べた。
パッチの準備中、彼らは政府機関、インターネット インフラストラクチャ会社 Cloudflare およびその他の組織にも通知し、修復対象範囲をできる限り拡大したいと考えていました。
脆弱性が発見されたものの、大規模な修復が行われていない期間は、参加者にとって最もストレスのかかる段階となります。
Cloudflare CEO の Matthew Prince 氏は、過去 2 か月間、誰かが脆弱性を早期に発見するのではないか、パッチが準備される前に情報が漏洩してしまうのではないかという極度の恐怖の中で過ごしたと語った。
同氏は、今後 2 年間で、平均して毎週、インターネット全体に影響を及ぼす重大な脆弱性が出現すると予測しています。
セキュリティ業界では、次の状況についてさまざまな判断が行われています。
アントロピック副最高情報セキュリティ責任者のジェイソン・クリントン氏は10月22日、ソーシャルメディア上で、過去4日間の状況は悪かったが、状況は好転する前に今後さらに悪化するだろうと述べた。
プリンスは、これらの長年の問題を明らかにすることで、最終的にはインターネットがより安全になると信じています。同氏は、今後 2 年間は非常にひどい状態になるだろうと予測していますが、この一連の修復が完了すれば、人々はより安全なインターネットを期待できるでしょう。
コメント