AIの普及によって膨大な数の脆弱性が発見され、脆弱性管理が困難になっている。セキュリティ企業のContrast Securityは、AppSec（アプリケーションセキュリティ）の現状をまとめた調査報告書「AppSec Overflow 2026」を公開し、AIスキャナーの精度や一貫性に課題があることを示した。
事案の詳細
Contrast Securityの調査では、AIの普及により脆弱性の発見数が増加する一方、脆弱性管理が困難になっている現状が示された。報告書は、攻撃者が実際のアプリケーションに存在する脆弱性へ日々到達していることや、AIが状況を改善する一方で悪化させる要因にもなっていることを指摘している。
AIスキャナーの検出結果については、同一のコードベースを分析した3つのスキャナー間で、検出結果の一致率がわずか5％にとどまった。また、あるAIスキャナーでは、繰り返し実行した場合に自ら検出した結果の17％しか再現されなかった。
これらの結果は、AIスキャナーの精度と一貫性に課題があることを示す。ただし、Contrast Securityは、AIスキャナーを使う意味がないと結論づけているわけではなく、開発サイクルの適切な場所にツールの一つとして組み込むべきだとしている。
影響と背景
AIの活用によって脆弱性の検出能力が高まる一方、ツールごとの検出結果が一致しなかったり、同じツールでも結果を再現できなかったりする場合がある。そのため、AIスキャナーの出力を網羅的かつ確実な判定として扱うのではなく、精度や一貫性の限界を踏まえて運用する必要がある。
Contrast Securityは、AppSecで本当に重要なのは実行時の可視性だと結論づけている。AIスキャナーだけに依存せず、実際のアプリケーションが実行されている環境で何が起きているかを把握することが、脆弱性管理や対応の優先順位付けに関わる。
対策・今後の展望
AIセキュリティスキャナーを活用する場合でも、組織側にはツールの出力を適切に評価し、開発工程や実行時の監視と組み合わせる運用設計が欠かせない。AIスキャナーは、危険なものをすべて検出できる万能な仕組みではなく、開発サイクルの適切な段階で利用する複数の対策の一つとして位置付ける必要がある。
- ツールの役割を明確にする：AIスキャナーを最終判断者にせず、一次検知や優先度付けなど、開発工程のどこを支援させるかを決める。
- 検出結果を人が確認する：「なぜ危険なのか」「どこを直すのか」を確認し、誤検知や再現性の問題を踏まえて対応の要否を判断する。
- 実行時の可視性を確保する：スキャン結果だけでなく、実行中のアプリケーションに対するアクセスや脆弱性への到達状況を把握する。
- 継続的に評価する：導入時点の評価で終わらせず、検出結果の一致性、再現性、実際の改修効果を確認しながら運用を調整する。
CSRIからの現場アドバイス
【現場で何が起きているか】AIスキャナーを導入しても、開発部門と運用部門が分断され、スキャン結果が通知の山として放置される場合がある。指摘の優先順位付けや改修担当の割り当てが未整備のままでは、検出数が増えてもリスク低減につながらない。
【平易な解説】AIスキャナーは点検を自動化する道具だが、点検結果の妥当性を確認し、必要な箇所を修理するのは人の役割である。同じコードを調べても結果が一致しない場合や、再実行時に結果を再現できない場合があるため、出力をうのみにしてはならない。
【今週中にできること】まず、現在使っているスキャンや診断の結果が誰に届き、誰が確認し、誰が修正するのかを1枚のメモに整理する。次に、外部公開部分、認証・権限に関わる機能、実行時に攻撃者から到達可能な箇所など、対応の優先順位を簡単なルールで決め、担当者に共有する。