日本IBMが提示する、AI時代のサイバー防御 - ConcertとLightwellで脆弱性対策を自動化

日本IBMは10月13日、「フロンティアAI時代のサイバーセキュリティーに関する記者説明会」を開催した。AIの進化で攻撃の高度化・高速化が進む中、IBMは脆弱性管理の自動化基盤「IBM Concert」とOSS（オープンソースソフトウェア）向け脆弱性対策サービス「Project Lightwell」、さらに自律型セキュリティエージェントによる新たな防御モデルを提示した。

外部公開アプリケーションや認証情報の悪用が拡大

説明会の冒頭、日本IBM 執行役員コンサルティング事業本部成長戦略統括事業部サイバーセキュリティー事業セキュリティー・ソリューション&デリバリー担当の藏本雄一氏が最新のサイバー脅威動向について説明した。

日本IBM 執行役員コンサルティング事業本部成長戦略統括事業部サイバーセキュリティー事業セキュリティー・ソリューション&デリバリー担当の藏本雄一氏

IBMの「X-Force Threat Intelligence Index 2026」によると、2025年に観測された攻撃では、外部公開アプリケーションの悪用が全体の40%を占めた。また、サプライチェーンや第三者経由の侵害は過去5年間で約4倍に増加し、正規認証情報の悪用も32%に達しているという。

「X-Force Threat Intelligence Index 2026」の要約

藏本氏は「特別な新対策が必要というよりは、脆弱性管理や認証管理、パッチ適用といった基本対策を改めて徹底することが重要だ」と強調した。

また、IBMの2026年データ侵害のコストに関する調査レポートでは、データ侵害による平均被害額は499万ドルに達し、侵害発覚から封じ込めまでの平均期間は247日、侵害に気付くまで183日、さらに封じ込めまで64日を要しているとのことだ。

同氏は「攻撃者側のAI活用も進んでおり、AIを利用した攻撃が56%増加していることも明らかになっている。侵害の発生から発見まで半年近くかかり、さらに対策完了まで2カ月を要している。正規の認証情報悪用などもあり、そもそも侵害に気付くこと自体が難しくなっていることに加え、発見後も封じ込めには相応の時間が必要となるため、結果として長期間にわたり侵害を受け続けるケースが増えているのが現状だ」との認識を示した。

攻撃者もAIファーストへ、急増する脆弱性への対応が課題

続いて、日本IBM 執行役員兼技術理事テクノロジー事業本部技術戦略本部の藤田一郎氏は、IBMが継続的に発信しているキーワードである「+AI」と「AI+(AIファースト)」に触れた。これは、従来多くの企業ではCopilotやChatGPTなどを既存業務に追加する「+AI」が中心だったが、今後はAIを前提に業務そのものを再設計するAIファーストへの移行が進むということだ。

藤田氏は「この変化は企業側だけでなく、サイバー攻撃を仕掛ける側にも起きている。攻撃者もまたAIを補助的に使う段階から、AIエージェントを中心とした攻撃へ移行しつつあり、AIファースト時代の攻防が始まっている」と述べた。

日本IBM 執行役員兼技術理事テクノロジー事業本部技術戦略本部の藤田一郎氏

さらに同氏は、CVE(共通脆弱性識別子)の公開件数が急増していることにも言及した。年間公開件数は2026年予測で6万6000件に達し、将来的には100万件規模になるとの見方もあるようだ。

IBMは、こうした環境変化を受け、フロンティアAI時代のセキュリティ対策として「資産の棚卸し」「アタックサーフェス(攻撃領域)の特定」「脆弱性対応」「多層防御」「認証情報悪用への対策」「横展開に対する検知・防御」「インシデント対応体制整備」の7項目を提示している。

フロンティアAI時代のセキュリティ対策7項目

藤田氏は「フロンティアAIによって攻撃の速度と量が激化する中、基本対策の徹底に加え、防御側も迅速に検知・対応できる自律的なセキュリティが求められる」と述べている。

IBM Concertで脆弱性管理と修復の自動化を推進

フロンティアAI時代のセキュリティ対策に挙げる7つの対策を段階的に実装するため、IBMでは「優先対応」「本格対応」「エージェント対応」「プログラム統括管理」というアプローチを提案している。

その中でも特に今後は、脆弱性管理の自動化・自動修復と自律型エージェントの活用が重要になると説明した。

背景には、CVEの急増とAIを活用した攻撃の高速化がある。藤田氏は、将来的に脆弱性情報が年間数十万件から100万件規模に達した場合、従来の人手中心の運用では対応が困難になるという。

その解決策として紹介したのが、「IBM Concert」と「Project Lightwell」だ。IBM Concertは、アプリケーションやインフラ、ネットワーク、コスト、セキュリティなどの運用データを統合し、単一の運用ビューを提供するAI主導の運用プラットフォームだ。今回の説明会では、そのセキュリティ活用例として脆弱性管理や修復の自動化を紹介した。

「IBM Concert Protect」は脆弱性スキャナやSBOM(Software Bill of Materials：ソフトウェア部品表)情報、システム環境情報などを統合し、生成AIによってリスク評価や優先順位付けを実施する。CVSS(深刻度)、EPSS(悪用可能性)、KEV(悪用が確認されている脆弱性)といった複数の評価指標に加え、システムの重要度や公開状況なども考慮して対処すべき脆弱性を特定する仕組みとなる。

また「IBM Concert Workflows」はRed Hatの「Ansible」や、HashiCorpのIaC(Infrastructure as Code)ツール「Terraform」と連携し、OSやミドルウェアへのパッチ適用、修復ワークフローの自動化を実現する。開発者向けには「IBM Concert Secure Coder」を提供し、VS Codeなどの開発環境内でセキュリティリスクのあるコードを検出・修正支援する機能も備える。

「IBM Concert Protect」の概要

藤田氏によると、IBMはすでに約1390の自社ソフトウェア製品をConcertで管理しており、脆弱性対応の自動化を進めているという。

OSSの未知の脆弱性に対応する「Project Lightwell」

もう1つの柱がProject Lightwellだ。AIを活用してソフトウェアの脆弱性を発見するプロジェクト「Mythos」の登場によって、OSSの脆弱性発見そのものがAIによって加速し始めている。その結果、攻撃者が未公開の脆弱性を発見し、AIエージェントを使って攻撃コードを生成するリスクが高まっているとのことだ。

Lightwellは企業が利用するOSSをフロンティアAIでスキャンし、脆弱性を検出した場合にCVE公開前の段階で修正パッチを提供する。IBMとRed Hatが総額50億ドルを投資して取り組むプロジェクトで、さまざまなパートナー企業とOSSの安全性を攻撃者よりも先に確保する活動となる。2026年5月の開始以降、400件以上の未知のJava脆弱性を修正したという。