Palo Altoが絶句。GPT-5.5-Cyberが自社脆弱性を7倍も発見
AIが人間のコーダーを嘲笑うかのように脆弱性を見つけ出す時代。もはや我々は、AI様の手のひらの上で踊るしかないのかもしれません。
AI脆弱性スキャンの衝撃…Palo Altoが自社製品で7倍の欠陥を発見
大手セキュリティ企業のPalo Alto Networksが、なんとも正直というか、身も蓋もないレポートを公開しました。自社の130以上の製品を最新のAI（AnthropicのClaude MythosやOpenAIのGPT-5.5-Cyber）にスキャンさせたところ、なんと従来の発見ペースに比べて7倍以上の脆弱性（CVE）が見つかったというのです。まさに、自宅のセキュリティシステムを最新の怪盗にチェックさせたら、合鍵の隠し場所から隠し金庫の番号まで全部バレた、みたいな話です。
これらのAIモデルは、コードの脆弱性を見つけて、ほぼリアルタイムで攻撃コード（エクスプロイト）を作成する能力が「驚くほど高い」とのこと。あまりに強力すぎるため、防御側が対策する時間稼ぎとして、一般利用が大幅に制限されているというオマケ付き。まるで、人類には早すぎる禁断の兵器のようです。
これまで「AIが脆弱性を見つけるかもね」なんて未来予測が語られてきましたが、これはもう現実です。大手ベンダーが自ら「うちの製品、AIでスキャンしたら穴だらけでした！」と告白したに等しいのですから。これからは、人間が必死にコードレビューする横で、AIがコーヒーでも飲みながら（飲みませんが）欠陥リストを数秒で吐き出す、そんな光景が当たり前になるでしょう。「パッチ水曜日」が「AI様による自社製品の公開処刑日」にならないことを祈るばかりです。
我々エンジニアや企業がやるべきことは一つ。攻撃者がこの"魔法"を手に入れる前に、防御側として使いこなし、自らの"穴"を塞ぎきることです。もはや、AIを使わないセキュリティ対策は、竹槍で戦闘機に立ち向かうようなものかもしれません。
https://www.axios.com/2026/05/13/palo-alto-networks-mythos-gpt-cybersecurity
AIの「成分表示」は義務です。G7がAI向けSBOMガイダンスを発表
さて、そんな強力すぎるAIが、一体「何からできているのか」気になりませんか？怪しげな健康食品じゃないですが、中身がわからないものをビジネスで使うのは怖いですよね。そこで、アメリカのCISAや日本のNCO（内閣サイバーセキュリティセンター）を含むG7各国が、AI向けの「SBOM（ソフトウェア部品表）」に関するガイダンスを発表しました。
SBOMは、ソフトウェアがどんなオープンソースライブラリやコンポーネントで構成されているかを示す、いわば「成分表示」です。今回のガイダンスはこれをAIに特化させ、従来のソフトウェア部品だけでなく、学習に使ったデータセットの特性、モデルの構造、利用インフラといった情報まで含めることを推奨しています。
「このAIは、インターネットの闇鍋みたいなデータと、開発者の悪夢を少々スパイスに加えて学習させました」なんて正直に書かれていたら誰も使いませんが、これからは、そうした透明性が求められる時代になるということです。Palo Altoの件で見たように、AIは強力なツールですが、そのAI自体がサプライチェーン攻撃の標的になるリスクも当然あります。利用するAIモデルにバックドアが仕込まれていたり、特定の思想に偏ったデータで意図しない判断を下したりするかもしれません。
これからはAIサービスを選ぶ際、「AI-SBOMはありますか？」と尋ねるのが当たり前になるでしょう。まるでレストランでアレルギー表示を確認するように、ビジネスに導入するAIの"素性"を確認する。そんな時代がもうすぐそこまで来ています。
まとめ：日本企業と我々はどうすべきか
今回のニュースから得られる教訓はシンプルです。
攻撃者より先にAIを使え: AIによる脆弱性発見は、もはや防御側に与えられた最後のチャンスです。「AI導入を検討する」なんて悠長なステージは終わりました。今すぐ自社システムや開発プロセスにAIを組み込み、人間が見つけられなかった穴を虱潰しに探す必要があります。
AIの身元を確認しろ: 自社で使うAIツールやサービスが、どのような部品（データセット、モデル）から作られているのか、AI-SBOMを基準に確認する文化を根付かせましょう。得体の知れないAIは、便利なツールであると同時に、最悪のトロイの木馬になり得ます。
「AIに仕事を奪われる」という議論はもう古い。これからは「AIを使いこなせないエンジニアや企業が、AIを使いこなす競合に淘汰される」時代の始まりです。さあ、あなたも"竹槍"を捨てて、最新兵器を手に取る準備はできていますか？
