激化するサイバー攻撃と機能不全に陥るセキュリティ対応
2026年10月27日に公開された記事「This is not sustainable」では、現在のサイバーセキュリティ状況が「持続不可能」であると強く訴えられています（Lobsters）。ゼロデイ脆弱性が次々と公開され、事前通知やエンバーゴ（情報開示猶予）がマーケティング目的で破られる事態が頻発しているとのことです。特にAI企業が、オープンソースコミュニティに対してDoS攻撃を仕掛けるかのような行為で競争し、その上で保護を謳うという皮肉な状況も指摘されています。
脆弱性の発見は根本的に変化し、開示プロセスは事実上機能不全に陥り、パッチ管理は何年も前から負け戦です。
企業はこのような状況に対応できる人員体制が整っておらず、いくら業界が「AIで解決できる」と主張しても、現実的には追いつかないと筆者は警鐘を鳴らしています。防御側が追いつけないペースで深刻な脆弱性が特定・開示されており、これは自社の環境で脆弱性の実行可能性を正確に評価するのに多大なリソースを要し、攻撃対象領域を特定し、修正をデプロイするのにも時間がかかるためです。
ゼロデイ脆弱性の具体例と防御側の苦悩
記事では、直近の事例として「PwnEscape」（CVE-2026-99999）と「eMudhra Compromise」を挙げています。PwnEscapeは当初KVMエスケープとして開示されたものの、他の仮想化やコンテナにも適用される脆弱性です。この対応には、システム群全体で適用可能な緩和策を評価し、カスタムパッチを適用するか、OSプロバイダーからの新しいカーネルを待つかの判断が必要となります。
その後、数千台のシステムを再起動するという大規模な作業が伴います。AIがここでどう役立つのか、疑問が呈されています。
eMudhra Compromiseは、ブラウザが迅速に対応したものの、環境内のあらゆるTLSを使用するシステム（実質的に全て）への対応が必要になります。修正プログラムがあること自体はボトルネックではなく、どのシステムが影響を受け、更新が必要なのかを特定することが難しいと筆者は述べています。
詳細なパッケージインベントリやSBOM（ソフトウェア部品表）があったとしても、ベンダー独自の、あるいはハードコードされたCA信頼バンドルまではリストされないのが現状とのことです。このインシデントはAIによって生成・検出・トリガーされたものではないため、古典的な脆弱性発見の側面が残っているのはある意味安心できる、という記述もありました（Lobsters）。
エンバーゴ破りと情報過多の時代
さらに、「php2shell」（CVE-2026-109618, CVE-2026-109619）と呼ばれるPHPの脆弱性が紹介されています。これは「ウェブサイトの70%以上に影響する」とされ、複数の組織にエンバーゴ付きで開示されました。
内輪の組織に属していれば、顧客の保護策をデプロイし、インベントリを精査して攻撃対象領域や影響を受けるシステム、ローカルな緩和策を特定する時間的猶予があったはずです。しかし、エンバーゴが破られてしまうと、その猶予は失われます。
エンバーゴが破られた場合、あなたは再び混乱に陥ります。
そして、サイバーセキュリティベンダーのマーケティングチームが、お互いに「最初に検出した」「最初に悪用した」と競い合うように、AIによって過剰に汚染された、息苦しいほどのブログ記事を次々と公開する現状も指摘されています。このような情報過多の状況も、防御側の負担を増大させる要因となっているのではないでしょうか。
エンジニア目線で見ると：コスト増大とAIの限界
今回の記事で述べられていることは、多くのエンジニアが肌で感じている危機感と重なります。ゼロデイ脆弱性の頻発と、それに対するパッチ適用やシステム再起動の要求は、サービス運用に直接的な影響を及ぼし、結果として多大なコストを発生させます。特に、筆者が指摘するように、脆弱性の特定や修正プログラムの展開には多くの時間とリソースが必要であり、現在のペースでは人員を増やすか、自動化を大幅に進めなければ追いつかないのが現状ではないでしょうか。
GCPを主軸とする私の環境でも、BigQueryやCloud Runは比較的運用負荷が低いものの、OSやミドルウェアの深い部分に関わる脆弱性となると話は別です。特に、PwnEscapeのような仮想化レイヤーの脆弱性は、基盤インフラの提供者からのパッチ適用を待つしかなく、自社でできる対応は限定的です。また、AIコーディングツールを活用している身としては、AIが脆弱性検出や修正提案に役立つ可能性は感じますが、結局のところ、最終的な判断とデプロイは人間が行う必要があり、現在のAIでは根本的な解決には至らないと考えます。
AI企業が脆弱性を悪用する側に回る可能性も示唆されており、セキュリティとAIの倫理的な問題は今後ますます重要になるでしょう。この問題は、単なる技術的な課題だけでなく、組織体制やコスト配分、さらにはAIの倫理的利用といった広範な議論が必要だと感じます。
