生成AIの進化は、ソフトウェア開発だけでなく、サイバーセキュリティのあり方にも変化をもたらしている。AIを使って大量のコードを解析し、従来は発見が難しかった脆弱性を短時間で見つけ出すことが可能になりつつある。

一方、発見された脆弱性が増えれば、企業はその影響を調査し、修正する必要がある。すべての脆弱性に同じように対応することは、人的リソースや運用コストの面から現実的ではない。

レッドハットが10月29日に開催した説明会では、AIによって変化する脆弱性の状況、企業が今後取り組むべきセキュリティ対策について説明が行われた。

AIによる脆弱性発見が加速、従来の対策に限界

米Red Hatアジア太平洋地域担当CTOであるヴィンセント・カルデイラ氏は、AIの進化によってソフトウェアサプライチェーンを取り巻く脅威が変化していると指摘した。

  • 米Red Hat アジア太平洋地域担当CTO ヴィンセント・カルデイラ氏

    米Red Hat アジア太平洋地域担当CTO ヴィンセント・カルデイラ氏

従来、ソフトウェアの脆弱性を発見して攻撃に悪用できるかどうかを検証するには、専門的な知識と相応の時間が必要だった。しかし、今や高度なAIモデルを利用することで、大量の脆弱性候補や攻撃コードを短時間で生成できるようになっている。

また、攻撃者が複数の脆弱性を組み合わせ、ソフトウェアの依存関係をたどって攻撃経路を構築することも懸念されている。

こうした中、特に問題となるのが、企業のシステムに組み込まれたオープンソースソフトウェア（OSS）のライブラリだ。

企業のアプリケーションでは、さまざまなOSSのライブラリが利用されている。中には長期間更新されていない古いバージョンもあり、こうしたソフトウェアが攻撃の足掛かりとなる可能性がある。

米Red Hat製品セキュリティ担当 バイスプレジデントのヴィンセント・ダネン氏は、Anthropicが2026年5月に公表した情報として、1,000以上のOSSプロジェクトを対象とした調査で2万3,000件以上の脆弱性が発見され、そのうち6,200件以上が深刻度「High」または「Critical」に分類されたと説明した。

  • 米Red Hat製品セキュリティ担当 バイスプレジデント ヴィンセント・ダネン氏

    米Red Hat製品セキュリティ担当 バイスプレジデント ヴィンセント・ダネン氏

発見された脆弱性の約27％が深刻度の高いものだったことになる。

AIによる脆弱性の発見が進む一方、修正パッチの作成や適用が追い付かなければ、企業が抱えるリスクは増大する。

さらに、脆弱性が公表されてから攻撃に悪用されるまでの時間も短くなっている。ダネン氏は、脆弱性が一般公開される前から悪用されるケースがあることを指摘し、従来のように公開後のパッチ適用だけに依存する対策には限界があるとの認識を示した。

「ゼロCVE」を目指すべきではない理由

こうした状況を受け、レッドハットが重要性を強調したのが、リスクに基づく脆弱性管理への転換だ。

従来、企業では共通脆弱性評価システム（CVSS）のスコアを基準に、深刻度の高い脆弱性から優先的に修正する方法が広く用いられてきた。

しかし、CVSSは基本的に個々の脆弱性の深刻度を評価するものであり、企業の実際のシステム構成や攻撃経路を十分に反映しているとは限らない。

例えば、深刻度の高い脆弱性が存在していても、該当する機能が利用されていなかったり、外部からアクセスできなかったりする場合がある。一方、単体では深刻度がそれほど高くない脆弱性でも、他の脆弱性と組み合わせることで攻撃に悪用される可能性がある。

カルデイラ氏は、企業の最高情報セキュリティ責任者（CISO）が目指すべきは、すべてのCVEを修正することではなく、システム全体のリスクを低減することだと説明した。

  • すべての脆弱性の修正を目指すのではなく、実際のリスクに基づいて対応を優先する考え方（出典：レッドハット）

    すべての脆弱性の修正を目指すのではなく、実際のリスクに基づいて対応を優先する考え方（出典：レッドハット）

実際、発見された脆弱性のすべてが攻撃に悪用されているわけではない。

ダネン氏によると、2025年にレッドハット製品に影響した約5,500件の脆弱性のうち、悪用が確認されたものは9件だった。このうち8件が深刻度「Important」、1件が「Moderate」で、「Critical」に分類された3件については悪用が確認されていなかったという。

ただし、これは同社製品に関する集計であり、OSS全体の状況を示すものではない。また、悪用が確認されていないことが、安全性を保証するわけでもない。

  • レッドハット製品に影響する脆弱性の深刻度と、悪用が確認された脆弱性の状況（出典：レッドハット）

    レッドハット製品に影響する脆弱性の深刻度と、悪用が確認された脆弱性の状況（出典：レッドハット）

こうしたデータを踏まえ、同社は脆弱性の件数や深刻度だけでなく、実際の悪用状況、攻撃者からの到達可能性、被害が発生した場合の影響などを考慮する「リスクベースの脆弱性管理」を提唱している。

その判断材料の一つとなるのが、VEX（Vulnerability Exploitability eXchange）だ。VEXは、ソフトウェアに含まれる脆弱性が実際に製品へ影響するかどうかなどの情報を共有するための仕組みで、対応すべき脆弱性を絞り込む際に役立つ。

パッチを適用するだけでは不十分、多層防御が重要に

脆弱性への対応では、修正パッチを作成するだけでなく、システムに適用するまでの時間も重要になる。

カルデイラ氏は、パッチは本番環境に適用されて初めて効果を発揮すると説明した。

企業のシステムでは、パッチが提供されても、既存のアプリケーションへの影響確認やテストが必要になる。特に複数のOSSライブラリに依存するアプリケーションでは、更新によってほかの機能に問題が発生する可能性もあり、直ちに適用できるとは限らない。

そのため、脆弱性の発見から修正、テスト、本番環境への展開までの一連の作業を効率化することが求められる。

また、すべての脆弱性を事前に修正することは難しいため、仮に攻撃が成功した場合でも、被害を限定する「多層防御」が重要になる。

具体的には、OSのセキュリティ設定の強化、コンテナの分離、アクセス権限の最小化、不要なソフトウェアの削減などが挙げられる。

こうした対策を組み合わせることで、システムの一部が侵害された場合でも、攻撃者がほかのシステムや重要なデータにアクセスするリスクを抑えることができる。

ダネン氏は、攻撃者がソフトウェアの脆弱性だけでなく、設定ミスや窃取した認証情報、フィッシングなども利用していることを指摘した。

脆弱性の修正だけに注力するのではなく、システム全体の構成やアクセス権限を把握し、侵害を前提とした対策を講じる必要があるという。

古いOSSの脆弱性にどう対応する？ レッドハットが新サービスを紹介

企業の脆弱性対策では、古いバージョンのOSSライブラリへの対応も課題となっている。

レッドハット 代表取締役社長 三浦美穂氏は、企業のシステムでは10年前のJavaやPythonなど、すでにサポートが終了したバージョンが使われている場合もあると説明した。

  • レッドハット 代表取締役社長 三浦美穂氏

    レッドハット 代表取締役社長 三浦美穂氏

OSSコミュニティでは、最新バージョンを中心に修正パッチが提供されることが多い。しかし、企業では既存システムとの互換性などの問題から、簡単にバージョンアップできないケースがある。

こうした課題に対応するため、レッドハットはIBMと共同で、OSSライブラリ向けの脆弱性修正サービス「Lightwell」を提供している。

Lightwellでは、OSSの脆弱性情報などを基に修正対象を特定し、古いバージョンにも適用できるように修正内容をバックポートする。これにより、大規模なバージョンアップを伴わずに、脆弱性に対処できるようにする狙いがある。

対象にはJava、Python、JavaScriptのライブラリが含まれる。作成したパッチはテストとデジタル署名を経て、専用リポジトリから利用企業に提供される。また、修正内容はOSSコミュニティにも還元する仕組みだ。

  • 脆弱性修正サービス「Lightwell」の仕組み

    脆弱性修正サービス「Lightwell」の仕組み

一方、三浦氏は、日本企業ではSBOMの整備が進んでおらず、自社システムへの影響を把握できないケースや、パッチが提供されても手作業では適用しきれないケースがあると指摘した。

こうした状況を踏まえ、同社は日本国内で「Lightwellカバレッジ診断サービス」の無料提供を開始した。企業が利用しているOSSライブラリの情報を基に、Lightwellが提供する修正パッチでどの程度対応できるかを診断する。

AIによって脆弱性の発見が加速するなか、企業には自社システムで使用しているソフトウェアを把握し、実際のリスクに応じて対策を優先することが求められている。