「パッチは検証後に適用」は命取り　日本ハッカー協会が教える大情報漏えい時代の極意

公開 2026年11月10日 07時00分

著者

高橋睦美

[キーマンズネット]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　「ここ1週間だけでも1000万件分以上の情報が漏えいしています。今や『大情報漏えい時代』です」。そう語るのは、日本ハッカー協会の杉浦隆幸氏（代表理事）だ。国内企業へのサイバー攻撃が相次ぐ中、なぜ被害はかつてないペースで拡大しているのか。杉浦氏はその背景にある攻撃手法の変化を指摘し、企業のセキュリティ対策も抜本的な転換を迫られていると警鐘を鳴らす。

脆弱性のトリアージはもはや時代遅れ

日本ハッカー協会の杉浦隆幸氏（代表理事）

　長らく専門家が実施してきた脆弱（ぜいじゃく）性診断やペネトレーションテスト（侵入テスト）だが、今やAIエージェントの方がはるかに素早く、正確に、しかも低コストで脆弱性を見つけ出すようになった。攻撃者よりも早く脆弱性を見つけてセキュリティを強化する、人の手による診断の効果は激減しているという。

　一方で、自立型ペネトレーションテストツールなどの悪用も問題になっている。2026年7月にオープンソースのAI侵入テストツール「ARTEX」が公開された。サイバー攻撃への悪用が懸念されて作者は公開を停止したが、既に多くの人がコピーを入手していて公開停止では食い止められない状況だという。ARTEXは、ログイン情報や機密情報の窃取に強みを持っており、それほど知識を持たない人物でも容易に攻撃を実行できてしまう。

　脆弱性管理の在り方も変化している。脆弱性情報が公表されてパッチが公開されてから、攻撃が出回るまでの時間が短期化している。パッチ適用にはこれまで以上の即時対応が求められるようになった。

　杉浦氏は、AIが発見したWordPressの脆弱性「wp2shell」の例を挙げた。この脆弱性については、公式サイトが2026年7月18日の午前3時45分（日本時間）にアップデートを公開したが、ほんの数時間後の7時7分にはGitHubで攻撃コードが公開された。

アップデートを公開した数時間後に攻撃コードが公開された（出典：日本ハッカー協会の講演資料）

　攻撃コードが公開されれば、わずか数時間で攻撃が始まる可能性がある。ならば、パッチもすぐに適用すればいいと思うかもしれない。しかし、企業やシステムの規模が大きくなるほど簡単にシステムを止めるわけにはいかない。組織内外で調整して、修正計画を作成して、承認を受け、検証をしてという作業が必要になる。だが、杉浦氏は「トリアージはもはや時代遅れだ」と主張する。

　フロンティアAIによるプログラムの脆弱性診断が進み、Windowsなどの大きなプログラムの場合、一度のアップデートで1000件もの脆弱性に対するパッチがリリースされる事態になっている。それら一つ一つを検証して該当するものを仕分け、トリアージして適用する従来のエスカレーション型運用は非現実的だ。

　杉浦氏は、人間による脆弱性対応ではもはや時間的に間に合わないと断言した。「脆弱性情報を検証して、パッチを当てるべきか／当てないべきか判断するトリアージは、もはや時代遅れでやる意味がありません。とりあえず『出たらすぐ当てろ』で考えるまでもなく自動的に更新して、動かなければいったん切り戻すような形にしなければ、セキュリティの運用はできない状況になっています」と、自動アップデートが必須になっていると述べた。

従来の脆弱性対応では攻撃に間に合わない（出典：日本ハッカー協会の講演資料）

　あるいは、PHPの脆弱性に関連して多くの企業が採用したように、パッチ適用のために一時的にシステムやサービスをメンテナンスモードにして停止を許容する姿勢が必要になるだろう。

　杉浦氏は、AIエージェントが大量の脆弱性を見つけ出す今後1～2年の間は、VPN装置やWordPressをはじめとするCMS、「Next.js」「React」「Nginx」といったWebサーバやロードバランサー、「Keycloak」などの認証サーバに至るまで、システムを構成するコンポーネントは自動アップデートを前提にすべきだと指摘した。

　「IP電話を支えるSIPサーバなどでは、もしかすると自動アップデートをかけることで通話中の電話が切れてしまうかもしれませんが、それでも自動アップデートをしなければいけない事態になっています」

　アップデート作業が非常に複雑ではあるものの、多くのシステムが動く基盤であり、ランサムウェア被害を拡大させる要因になっているVMware ESXiについても、自動アップデートが必要だとした。

AIを用いた脆弱性診断やパッチ適用の自動化は「不可欠」

　AIは攻撃のスピードと量を変えた。これに応じて対策する側も変化を迫られており、AIを用いた脆弱性の自動診断やパッチの自動適用は不可欠だという。

　「パッチ適用にしても、ソフトウェア開発フローにおける脆弱性診断にしても、自動化する必要があります。そうでなければ対応が間に合いません」

　実装・開発段階からAIによる脆弱性診断を自動で実施すると、セキュリティ上の脆弱性を洗い出してより堅牢（けんろう）にできるだけでなく、修正コストの低下というメリットも得られる。

　もちろん診断に当たっては、パスワードやAPIキーと言ったクレデンシャル情報を安易にAIに含めないようにするなど注意すべき点はある。だが「Claude Security」「Codex Security」「Claude Mythos」などのAIを用いて、改めてアプリケーションの診断を実施すべきだと杉浦氏は呼び掛けた。

　うまく利用すれば、実装上の問題だけでなく、シーケンス図やデータフロー図を作成して仕様に潜む問題を見つけ出せる。逆に言えば、攻撃者はまさにこうした手順を用いて脆弱性を見つけ出し、攻撃を展開しているということだ。

　杉浦氏は「WordPressやDrupalをはじめとするCMSや、古くから運用しているWebサイトがPHPを使っているケースは多くあります。大変かもしれませんが、スタンバイしてアップデートできるよう準備を整えましょう」と呼び掛けた。

本稿は、2026年10月21日に開催されたJapan IT Week（主催：RX Japan）の日本ハッカー協会の講演「生成AIによるサイバー攻撃から企業を守るための対策と組織変革」の内容を基に、編集部で再構成した。

印刷する