米国で報告されるソフトウェアの脆弱性件数が、前年と比べて約2倍のペースで増加していることが報じられた。背景として、AIツールがサイバー脅威や脆弱性の特定に活用されるケースが増え、その検出能力が向上している点が挙げられている。
事案の詳細
報道によると、米国標準技術研究所（NIST）が運営する「National Vulnerability Database（NVD）」に2026年1月から7月下旬までに記録されたソフトウェア脆弱性は4万5207件で、これは2025年の年間登録件数にほぼ迫る水準だという。2026年の通年ペースで見ると、前年の約2倍に達する可能性があると伝えられている。
ここで扱われる脆弱性は、ソフトウェアに内在する設計上・実装上の欠陥や弱点を指し、悪用されればシステムの機密性・完全性・可用性が損なわれるおそれがあるものとされる。報告される件数の増加は、こうした欠陥がより多く特定・登録されていることを意味する。
今回のニュースは、脆弱性そのものが増えたというより、「発見・報告」が加速している点に焦点を当てている。NVDへの登録件数の急増は、研究者やセキュリティ企業、開発コミュニティなどによる検出・報告の動きが従来より活発化している状況を示すものとして紹介されている。
増加の要因として、AIベースの脆弱性検出やコード解析ツールの性能向上・普及が指摘されている。機械学習や大規模言語モデル（LLM）を活用した自動解析により、従来は人手では見逃されていた脆弱性を短時間で洗い出せるようになり、その結果として米国で確認・報告される脆弱性の件数が押し上げられているという見方が示されている。
影響と背景
脆弱性の報告件数が高いペースで増える状況は、ソフトウェアの安全性に関する情報が継続的かつ大量に市場や社会へ供給されていることを意味する。これにより、開発者や利用者は自らが使用するソフトウェアやサービスにどのような欠陥が存在しうるかを、以前より詳細に把握できるようになっている一方、対応すべき課題の数も急増している。
AIの能力向上がその背景として語られている点から、脆弱性を見つけ出すための手段や作業が、従来の手動テストや従来型のスキャンツール中心の体制から、AI支援による自動解析を多用する体制へと変化しつつある可能性がうかがえる。大規模言語モデルや機械学習モデルは、ソースコードやバイナリ、設定ファイルなどを高速に解析し、既知のパターンだけでなく潜在的な欠陥を指摘する用途で活用されているとされる。
一方で、AIは脆弱性の発見と同時に、攻撃側にとっても脆弱性探索や攻撃コードの自動生成・改良を支援するツールとなり得るため、攻撃と防御の双方を加速させる「両刃の剣」としても位置付けられている。こうした構造的な変化が、米国における脆弱性報告件数の急増とも関連している可能性がある。
対策・今後の展望
報道は、米国で報告されるソフトウェア脆弱性が短期間で大幅に増加している事実と、その背景にAIツールの能力向上・普及があるという見立てを伝えている。脆弱性情報が増える局面では、ソフトウェアベンダーや開発組織、利用企業などの関係者が、脆弱性情報の収集・優先度付け・修正対応を継続的に行う重要性が一層高まる。
また、AIを防御側のツールとして積極的に取り入れ、脆弱性の自動検出や修正コードの自動生成、パッチのテストなどに活用する取り組みも広がりつつあるとされる。こうした取り組みは、増加する脆弱性に対して限られた人員で対応しなければならない現場の負担を軽減し、修正のスピードを高めることが期待されている。
今後もAIの能力向上が続く場合、脆弱性の発見・報告ペースがさらに加速する可能性があり、併せてAIが生成したコードに新たな欠陥が紛れ込むリスクや、AIそのものを標的とする攻撃が増える懸念も指摘されている。こうした状況を踏まえ、組織はAIを活用した攻撃・防御の両面を見据えた脆弱性管理体制の強化が求められるとみられる。