LLMの台頭で変わる脆弱性発見の構図

フィリッポ・ボイソ氏（Filippo Valsorda）が 2026年6月に公開したエッセイ「Vulnerability reports are not special anymore」は、オープンソース開発の現場に大きな問題提起をしています。かつてGo Security チームのリーダーを務めていた同氏は、長年「脆弱性報告は他の issue や PR とは異なり、特別な扱いが必要だ」と新しいチームメンバーに伝えてきたと述べています。

LLM が利用可能になった今、脆弱性報告を特別視する前提そのものが成り立たなくなった。

その理由は単純明快です。LLMは今や、ほぼすべてのセキュリティ研究者と同等の脆弱性発見能力を持つようになりました。

そして何より、誰もがそれを実行できるのです。保守者も、攻撃者も、です。

従来の「脆弱性報告の価値」が瓦解する理由

これまで、開発者がセキュリティ研究者からの報告を特別視してきた理由は三つありました。

  • 洞察の希少性：脆弱性を発見することは難しく、その知見は価値が高かった
  • 機密性とエンバーゴ：研究者が責任を持って非公開で報告し、修復の時間を稼げた
  • 信頼関係に基づく協力：外部研究者がトリアージプロセスに貢献できた

しかし、この三つの前提は 2026年にはもう成り立たないと、ボイソ氏は指摘しています。

まず第一に、LLMが脆弱性を大量に自動発見できるようになった時点で、問題は「何を発見するか」から「どの報告が本物の脆弱性なのか」への転換が起きました。GNU Savannah では AI コードレビューツール「Hacktron」が 2年間見逃されていた脆弱性を発見し、FSF が修復する事態が発生しました。（出典）このような自動発見の時代には、外部研究者からの報告のシグナル・ノイズ比は、LLMの出力のトリアージと変わらなくなっています。

第二に、機密性とエンバーゴの意味が薄れました。攻撃者も同じ LLM を持っており、脆弱性について自分たちで検証できます。つまり、全文ディスクロージャーを読む必要さえなく、脆弱性の情報にアクセスできるようになったのです。

視点 従来（〜2025年） 現在（2026年〜）
脆弱性発見 セキュリティ研究者が希少な存在 LLMが大規模・継続的に発見
トリアージの課題 「何があるか」の発見が難しい 「何が本物か」の判別が難しい
機密性の価値 エンバーゴで修復時間を稼げた 攻撃者も同じLLMで検証可能
研究者の役割 特別な貢献者 ノイズの中の一報告に

開発者に求められる新しい責務

では、この変化の中で、開発者はどう対応すべきなのか。

ボイソ氏が指摘する結論は、「トリアージ、迅速な修復、そして何より予防が開発者の真の仕事になった」というものです。セキュリティ研究者の報告を「特別」として丁寧に対応するのではなく、自分たちで LLM を使って検査を自動化し、CI パイプラインに組み込むべき時代になったということです。

CI に LLM 分析を統合すること自体が、今後の開発スタンダードになるだろう。

この主張に対しては、セキュリティコミュニティからも反論や補足が出ています。Bluesky では Avery Pennarun 氏が「LLM の能力が改善し続ける限り、このダイナミクスは続く。だが最終的には脆弱性の絶対数が減り、新しい『高い基準』が出現するだろう」と指摘しています。また Lobsters では Frederik Braun 氏が「特別な脆弱性は依然として特別として扱うべきであり、その判定プロセスこそが課題」だと述べ、開発チームが報告を「特別」「通常」に素早く分類する能力を磨くことの重要性を強調しています。

実務面での影響と開発者の課題

こうした変化は、特にオープンソース保守者にとって大きな意味を持ちます。従来のように「セキュリティ研究者からの報告には必ず応答する義務がある」という前提が外れることで、保守者のメンタルヘルスや対応負担が変わる可能性があります。

ただし、エンタープライズレベルの製造業ではまた別の現実があります。Tata Electronics が 2026年6月に ransom group「World Leaks」の攻撃を受け、Apple や Tesla の機密文書が盗まれた事件（出典）は、従来の脆弱性報告メカニズムが機能しない「実際の被害」を示しています。このような供給チェン攻撃では、機密性やエンバーゴの概念はほぼ無意味です。

開発者にとって重要なのは、以下の三点です。

  • LLM ベースの脆弱性スキャンを開発フロー に組み込む—自分たちで継続的に検査する
  • 報告のトリアージ能力を磨く—全ての報告に同じ優先度を付けず、深刻度で分類する
  • 供給チェーンのセキュリティ対策を強化する—外部からの報告だけでは守り切れない

特に自作 PC で Stable Diffusion やローカル LLM を実験している開発者の方なら、このトレンドの実感は強いはずです。LLM を自分たちの CI/CD パイプラインに統合することは、もはや実験的な試みではなく、実務的な必要性になっています。