特に注目すべきは、AIによる脆弱性発見能力の向上です。Google DeepMindとGoogle Project Zeroが共同開発した脆弱性探索AIエージェント「Big Sleep」は、2025年、オープンソースのデータベースエンジンSQLiteに存在する重大な脆弱性（CVE-2025-6965）を、攻撃者に悪用される前に発見・特定しました。Google自身が公式ブログで、これはAIエージェントが実世界のサイバー攻撃を未然に阻止した最初の事例だと説明しています[1]。
同様の動きはAnthropicにも見られます。同社は2026年、サイバーセキュリティに強みを持つ新モデル「Claude Mythos」を発表しましたが、その脆弱性発見・攻撃コード生成能力があまりに高いことから、一般提供は行わず「Project Glasswing」という枠組みを通じて、重要インフラ事業者やセキュリティ企業など限定された組織にのみ提供する方針を取りました。
Anthropic自身、Claude Mythosがこれまでにない規模とペースでゼロデイ脆弱性（ソフトウェア開発者すら把握していなかった欠陥）を多数発見したと公式に説明しており[2][3]、こうした能力が広く利用可能になるまでの間に防御側の備えを固める必要があるとしています。フロンティアAIの脆弱性発見能力が、AI開発企業自身にとっても慎重な取り扱いを要するレベルに達しつつあることを示す象徴的な事例といえるでしょう。

今後、AIが脆弱性の探索を支援することが一般化すれば、これまで人間が長い時間をかけて発見していた脆弱性が短時間で大量に見つかる時代が到来するでしょう。これは防御側にとって必ずしも朗報ではありません。なぜなら、攻撃者も同じ技術を利用できるからです。

現在でも脆弱性情報公開後から攻撃開始までの時間は年々短縮されていますが、AIの活用によってその傾向はさらに加速すると考えられます。
2025年10月に公表された「ENISA Threat Landscape 2025」（2024年7月〜2025年6月に確認された約4,875件のインシデントを分析した年次報告書）によれば、脆弱性の悪用は依然として侵入経路全体の21.3％を占める主要な手口であり、多くの攻撃キャンペーンが脆弱性の公開からわずか数日のうちに武器化されていると報告されています。ENISAはこの傾向を踏まえ、迅速なパッチ適用と基本的なサイバー衛生管理の重要性を強調しています[4][5]。
これまで数週間の猶予があったケースでも、今後は数時間以内に攻撃コードが生成され、インターネット上で悪用が始まる可能性があります。脆弱性公開と同時にエクスプロイトが流通する世界では、従来の「定例パッチ適用」を前提とした運用だけでは対応が難しくなります。

さらに課題となるのが脆弱性の件数そのものです。ソフトウェアの複雑化に加え、AIによる発見効率の向上によって、今後は公開される脆弱性情報が爆発的に増加する可能性があります。
実際、IPA（独立行政法人情報処理推進機構）が公式に運用する脆弱性対策情報データベース「JVN iPedia」の統計によれば、2025年の年間登録件数は41,742件に達しており、日本国内でシステム管理者に共有される脆弱性情報だけでも極めて高水準で推移していることが分かります。JVN iPediaへの累計登録件数も、2025年第2四半期時点の242,898件から2026年第2四半期には290,167件へと、1年間で5万件近く積み上がっています[6][7]。
既にこうした脆弱性情報の増加に伴う運用負荷が課題となっていますが、今後は「すべての脆弱性に同じ優先度で対応する」という考え方は現実的ではなくなっていくでしょう。

重要なのは、脆弱性の有無ではなく、自社に対する実際のリスクを評価することです。攻撃可能性、システムの重要度、公開状況、業務影響、障害リスクなどを総合的に判断し、対応優先度を決定する脆弱性トリアージの仕組みが不可欠となります。単なるパッチ管理ではなく、リスクベースの脆弱性管理への転換が求められています。
また、ゼロデイ攻撃への備えも重要性を増しています。未知の脆弱性に対しては、攻撃者による悪用を待つのではなく、自社システムや開発ソフトウェアに潜在する脆弱性を能動的に発見する取り組みが必要となります。コードレビューやセキュリティテストにAIを活用し、攻撃者よりも早く問題を発見する能力が競争力の一部になるでしょう。
加えて、脅威インテリジェンスや脅威ハンティングの高度化も欠かせません。内部ネットワークの異常検知やログ分析に加え、ダークウェブや各種OSINTから攻撃兆候を収集し、被害発生前に対応する活動の重要性はますます高まっています。脆弱性を完全になくすことが困難になる以上、「侵害される可能性を前提とした防御」が求められるからです。

こうした環境変化に対抗するためには、防御側もまたAIを積極的に活用しなければなりません。
多くの企業では既にセキュリティ人材不足が深刻化しており、人員増強だけで課題を解決することは難しい状況です。経済産業省が2025年5月に公表した検討会取りまとめによれば、国内のサイバーセキュリティ人材は約11万人不足しているとの民間調査結果（ISC2, 2023年）が紹介されており、情報処理安全確保支援士の対象となる高度人材、及び中堅・中小企業内でセキュリティ対策を推進する人材の双方について、量・質の両面で不足が課題とされています。
そこで期待されるのがAI Agentを活用したセキュリティ運用の自動化・省力化です。例えば、脆弱性トリアージでは、自社資産情報や脅威情報を基に優先順位を自動評価することができます。SOC運用では、大量のアラートを分析し、過去のインシデントや対応履歴を参照しながら真に調査すべき事象を抽出できます。ログ分析においても、複数のログソースを横断的に調査し、人間のアナリストを支援する役割を果たすでしょう。
また、報告書作成や経営層向け説明資料の作成といった定型業務もAIによって大幅に効率化できます。これまで経験豊富な担当者に依存していた判断や説明を組織知として蓄積し、AIが活用できる形で整備することで、属人化の解消にもつながります。

AI時代のサイバーセキュリティは、「人がAIと戦う世界」ではありません。攻撃者も防御者もAIを利用する世界です。その中で競争力を左右するのは、いかに迅速にリスクを把握し、限られたリソースを最適に配分できるかです。脆弱性の増加と攻撃速度の加速は避けられない未来かもしれません。しかし、防御側もAIを活用した新しい運用モデルへ移行することで、その変化に十分対応することが可能です。
今求められているのは、脆弱性を「すべて直す」という発想から、「AIを活用して重要なリスクへ集中する」という発想への転換なのです。

2026年8月