最先端AIが変える脆弱性管理とパッチ適用――機械的な高速脅威への対応が課題に

要点

• Anthropicの「Mythos」など最先端AIモデルがゼロデイ脆弱性の検知や攻撃コードの連携を可能にし、脆弱性管理の抜本的な見直しを迫っている。

• CVSSスコアやEPSS、CISAのKEVといった従来の評価指標だけでは、AIが高速で生み出す攻撃の優先順位付けが困難になっている。

• 組織全体の攻撃対象領域を多角的に評価する「エクスポージャー管理」の構築と、継続的監視や自動テストツールの活用が重要視されている。

• パッチ管理においても定期更新からリング型手法による自動化デプロイへの移行が進む一方、システムの稼働時間要件とのバランス調整が求められている。

• サイバーセキュリティ専門メディアのThe Hacker Newsは2026年8月25日、最先端AI（Frontier AI）の急速な進化が企業の脆弱性管理およびパッチ管理プログラムに大きな変革をもたらしていると報じました。AnthropicのAIモデル「Mythos」などに代表される高度なAIが脆弱性の発見から悪用までを高速で行う環境において、従来のセキュリティ運用からの転換が必要になっていると伝えています。

最先端AIの台頭と脆弱性管理プログラムの現状

記事によると、脆弱性管理とパッチ管理はセキュリティ運用の根幹として長年連携し、リスクの特定と排除に取り組んできました。しかし、ゼロデイ脆弱性の発見や複雑な攻撃手法の連携、リアルタイムでの適応能力を備えた最先端AIモデルの登場により、従来の枠組みが試されているといいます。

多くの組織では、未対応の脆弱性（バックログ）が膨大に積み上がっており、CTEM（継続的脅威露出管理：脅威への露出度を継続的に評価・修正する枠組み）のような新たな体制への移行計画も遅れがちであると指摘されています。そのため、急速に変化する脅威環境に対して、既存の脆弱性管理プログラムが十分に機能しなくなっている現状があるとのことです。

従来型スコアの限界と「エクスポージャー管理」への拡張

脆弱性の優先順位付けにおいて、従来は以下の指標が広く活用されてきました。

• CVSS（共通脆弱性評価システム）: 脆弱性の深刻度を客観的な数値で評価する指標。
• EPSS（悪用予測スコアリングシステム）: 脆弱性が実際に悪用される確率を予測する仕組み。
• CISA KEV（既知の悪用された脆弱性カタログ）: 米サイバーセキュリティ・インフラセキュリティ庁が公開する、実際に悪用が確認された脆弱性のリスト。

記事では、これらの指標は現在では管理運用の前提条件となっているものの、AIが機械的な速度で脆弱性を悪用可能な攻撃コードへと変換する状況下では、組織にとって真に対処すべき脆弱性を絞り込むには不十分であると説明しています。

この課題への対応策として、脆弱性管理プログラム内に「エクスポージャー管理（Exposure Management）」機能を組み込む必要性が挙げられています。エクスポージャー管理とは、組織のアタックサーフェス（攻撃対象領域：外部から攻撃を受ける可能性があるIT資産全体）全体の実質的なリスクを把握し、悪用可能性とビジネスへの影響度に基づいて修復の優先順位を判断する手法です。

具体的には、単に既知の脆弱性をリストアップするだけでなく、システムの設定ミス、ネットワーク経由での到達可能性（Reachability）、各種脅威インテリジェンスなどを統合してリスクを評価します。さらに、継続的な監視やBAS（侵入攻撃シミュレーション：疑似攻撃で防御態勢を検証するツール）、自動化されたペネトレーションテスト（侵入テスト）を活用して実際のリスクを検証することで、AIによる高速な脅威に対応できる組織レベルの優先順位付けが可能になるとしています。

パッチ適用の自動化とアップタイム要件の再検討

脆弱性の対応を担うパッチ管理チームにおいても、従来のプロセスの見直しが求められています。定期的なパッチ更新日（Patch Tuesdayなど）を待って検証や配布を行ったり、個別にゼロデイ対応を行ったりする従来の手順では、AIが攻撃コードを生み出す速度に追いつけないとされています。

対策として、パッチの特定、テスト、展開の各段階に自動化を導入し、「リング型手法（段階的に対象範囲を広げ、安定性を確認しながら次のグループへ展開する方式）」を活用したデプロイ戦略への移行が挙げられています。各プロセスを自動化することで、脆弱性が環境内に未修正のまま残る期間を短縮できると説明されています。

一方で、パッチ適用の迅速化はシステムの可用性維持に影響を与える可能性があります。パッチ管理チームはこれまで、業務部門が求めるシステムの稼働時間（アップタイム）要件を守り、サービス停止を避ける運用を行ってきました。しかし、機械的な速度で脅威が顕在化しパッチ適用の頻度が高まるなかで、許容されるサービス停止時間（ダウンタイム）や可用性の基準について、セキュリティ部門と組織内の主要な関係者が改めて議論し合意を形成する必要が生じていると伝えています。