脆弱性対応は、組織のサイバー防衛における最重要テーマの一つでありながら、最も「回らなくなりやすい」領域でもあります。スキャン結果の精査、資産との突合、優先度付け、関係者調整、修正適用、例外管理、再検証、監査証跡の整備──これらを限られた人員で継続することは容易ではありません。こうした現場課題に対し、韓国のAI SPERAが脆弱性対応を自動化するAIソリューション「AITEM」を発売予定と報じられました。市場全体の流れとしても、脆弱性管理（VM）とAIを組み合わせ、運用の実行力を高める取り組みが加速しています。
脆弱性対応が“作業”から“経営リスク管理”になった理由
従来、脆弱性管理は「スキャンして重大なものから直す」運用が中心でした。しかし現在は、クラウド、SaaS、コンテナ、CI/CD、リモート環境の定着によって、IT資産の変化速度が速く、かつ可視化が難しい状況が一般化しています。結果として、脆弱性は“点”ではなく“流れ”として発生し続け、対応の遅れがそのまま侵害リスクに直結します。
さらに攻撃側は、公開直後の脆弱性を狙うだけでなく、すでに修正パッチが存在する「既知の脆弱性（n-day）」も執拗に悪用します。組織側にとっては、すべてを即時に直すことは不可能である以上、限られた工数をどこに投下するか、つまり“優先度”の精度が勝敗を分けます。
AITEMのような「脆弱性対応の自動化AI」に期待される役割
報道の文脈からは、AITEMが脆弱性対応プロセスの自動化を狙うソリューションであることが読み取れます。一般に、この種のAIソリューションに期待される価値は、単なる「診断精度の向上」よりも、運用の実装力を高める点にあります。具体的には、次のような機能領域が焦点になりやすいでしょう。
アラートの解釈とノイズ削減
スキャナやSAST/DAST、クラウド設定診断など複数ソースの結果は、重複・誤検知・環境依存の指摘が混在します。AIが文脈を解釈し、同一原因の集約、誤検知の可能性提示、影響範囲の推定を支援できれば、一次トリアージの工数を大幅に削減できます。
リスクベースの優先度付け
CVSSのスコアだけでは、組織固有の重要度や露出度を反映できません。資産のビジネス重要度、インターネット露出、攻撃経路、既知の悪用状況、補償統制の有無などを加味し、「今直すべき順」を現実的に提示することが重要です。AIがこの判断を支援することで、パッチ適用率そのものだけでなく、侵害確率の高い領域を優先して潰す運用に近づきます。
ワークフロー自動化と部門間調整の短縮
現場では、脆弱性の修正そのものよりも、担当特定、依頼、期限管理、例外申請、影響確認といった“調整”がボトルネックになります。ITSMやチケットシステムと連携し、推奨対応の提示、担当割当、期限の提案、再検証までを半自動化できれば、平均対応時間（MTTR）の短縮に直結します。
監査証跡と説明責任の強化
自動化が進むほど、監査・規制対応では「なぜその判断をしたのか」が問われます。AIが提案した優先度や例外判断について、根拠（利用した信号、前提条件、リスク評価の構造）を説明できる設計は不可欠です。運用現場にとっては、監査対応の工数を減らしつつ、意思決定の品質を上げる効果が期待されます。
導入で失敗しやすいポイントと、評価の観点
AIによる脆弱性対応自動化は魅力的ですが、導入効果は設計と運用の相性で大きく変わります。評価段階では、機能の多さよりも「自社の意思決定と実行の流れに乗るか」を重視すべきです。
資産情報の整備不足
優先度付けの精度は、資産台帳、クラウドインベントリ、アプリの依存関係、オーナー情報の鮮度に左右されます。入力が曖昧なままでは、AIの提案も曖昧になります。まずは“資産の正確性”が基盤です。
自動化の範囲が不適切
いきなり全面自動化すると、誤ったチケット発行や過剰な修正要求で現場の反発を招きます。最初は「提案（Recommend）」中心で始め、次に「半自動（Approve）」、最後に「自動実行（Auto）」へと段階的に拡張するのが現実的です。
指標（KPI）が“数”偏重になる
「クローズ件数」や「パッチ適用率」だけを追うと、重要資産や悪用リスクの高い領域が後回しになる可能性があります。KPIは、重大脆弱性の平均対応時間、インターネット露出資産の是正率、既知悪用脆弱性の残存数、例外の期限切れ率など、リスクに直結する指標で設計する必要があります。
脆弱性管理の将来像：AIは“判断の代替”ではなく“判断の増幅”
脆弱性管理の理想は、すべてを完璧に直すことではありません。現実の制約下で、攻撃者が狙う経路を先回りして潰し、被害確率と影響を最小化することです。AITEMのような自動化AIが普及すれば、脆弱性対応は「担当者の経験と根性」に依存する運用から、データに基づく継続的なリスク制御へと移行していくでしょう。
一方で、AIの提案は万能ではなく、環境固有の前提や補償統制、業務影響を踏まえた最終判断は依然として人に残ります。重要なのは、AIを“判断の代替”として扱うのではなく、判断のスピードと質を増幅する仕組みとして設計することです。脆弱性対応の自動化は、セキュリティ部門だけの話ではなく、IT運用、開発、監査、経営を横断して効果が現れる投資領域になりつつあります。
今後、同種のソリューションを検討する企業は、PoCでは「検知できるか」よりも、「優先度が適切か」「チケットが回るか」「再検証まで閉じるか」「説明可能か」といった運用の完結性を評価軸に置くべきです。その観点でAITEMの登場は、脆弱性対応の次の標準を占う動きとして注目されます。
参照: 【韓国】AI SPERA、脆弱性対応を自動化するAIソリューション「AITEM」を来月発売 – finance.biggo.jp