修正待ちの脆弱性が積み上がり、専門家の検証能力が追いつかない
修正が必要な脆弱性は膨大で、数千億ドル（数十兆円規模）の資金を調達してきた大手AI研究機関でさえ対処に苦しんでいる。Patch the Planetが発見した1995件の脆弱性のうち、1316件は修正待ちだ。アンソロピックもDaybreakに似た「Glasswing」という取り組みを進め、2万9000件を超える潜在的な脆弱性を発見した。だが、内容を確認し、優先順位を判断できたのは約6000件にとどまる。同社は2026年10月の投稿で、「6000件の脆弱性を扱ったのは大きな成果だが、発見内容を検証する人手が不足している」と記した。
AIセキュリティ企業Knosticの共同創業者兼最高経営責任者（CEO）、ガディ・エヴロンは、「OpenAIが取り組みに投資しているのは良いことだが、業界は嵐に直面している」と警告する。「残された時間で備えるために、業界全体でもっと多くのことをしなければならない」。
AI作成の修正プログラム130件、17件で動作・性能の問題
企業は修正プログラムの作成にもAIを使っているが、成果にはばらつきがある。Patch the PlanetをOpenAIと共同運営するサイバーセキュリティ企業Trail of Bitsは、2026年10月21日、AIが作成した修正プログラムの監査結果を公表した。調査では、AIが作った修正プログラムは通常、人間が作ったものより品質が高かった。ただし、実際に適用された130件のうち16件はコードの動作に問題を生じさせ、1件は処理性能を低下させた。新たな脆弱性を作り込んだ例はなかったが、AIの作業結果を確認するために人間が多くの時間を費やした。省力化が期待されるAIの利点とは逆の結果だった。
Trail of Bitsの創業者兼CEO、ダン・グイドは「AIに『修正して』と頼むだけで済む段階ではないが、急速に近づいている」と話す。グイドは人間による点検に頼り続けるのではなく、脆弱性の発見から修正までを一貫して実行できるAIの開発に、最先端のAI研究機関は力を注ぐべきだと考えている。米メディアのThe Informationは、OpenAIがTrail of Bitsの買収を検討していると報じた。グイドは買収報道へのコメントを控えた。
PHPの脆弱性を狙う攻撃、公表4日前に確認されていた
PHPのような深刻な脆弱性を修正するには、関係する開発者や運営者が数カ月にわたって調整する必要がある。しかし、攻撃者の動きはさらに速い。米アマゾンが公開したデータでは、PHPの脆弱性を悪用しようとする攻撃が、2026年10月21日の公表より4日前に確認されていた。修正プログラムが公開される前に攻撃者は動いていたという。アマゾンの最高情報セキュリティ責任者、シー・ジェイ・モーゼスは「攻撃者が公表前に悪用方法をどう入手したのかは、依然として不明だ」と記した。さらに、AIの普及で「脆弱性の技術的な詳細が公開されれば、数時間、あるいは数分以内に行動できる攻撃者が増える」と指摘した。
