2026年8月4日、パロアルトネットワークスの脅威研究部門Unit 42が公開した調査が、この議論の火付け役になりました。タイトルは「The Frontier AI Vulnerability Burst（フロンティアAIによる脆弱性の爆発）」。

同社はNOVAという完全自動のシステムを作りました。複数の最先端AIモデルを組み合わせ、「最終レビューまで人間が一切介在しない」形でオープンソースソフトウェアを次々に解析させる仕組みです。その結果がこちらです。

単純に割ると1日あたり約230件。人間の脆弱性研究者が1件を見つけるのに数日から数週間かかることを考えると、桁が違います。Unit 42が「産業化（industrializing）」という言葉を使ったのは、この規模と自動化の度合いを指しています。

言語別の内訳を見ると、偏りもはっきりしています。

そしてUnit 42が出した結論が「パッチを当てるための猶予期間は消滅した（The patch window has collapsed）」でした。発見が加速すれば、公表から悪用までの時間も縮む——という主張です。

その1週間前、まったく逆の結論を出した調査が公開されています。脆弱性情報を扱うVulnCheck社の研究者パトリック・ギャリティ氏によるものです。

調べたのは「AIが見つけた脆弱性は、実際に攻撃で使われているのか」という一点です。

もうひとつ、規模の大きい実例も示されています。Anthropic社の取り組みでは23,000件を超える指摘が出ましたが、そこから正式にCVE番号が付いて公表されたのは126件。実際に悪用が確認されたのは1件でした。

ギャリティ氏の結論は明快です。最先端のAIモデルは「ソフトウェアを強くする守る側に、攻撃側よりも有利をもたらす可能性が高い」。開発元が自分のコードをAIに調べさせて先に直せる立場にある以上、攻撃者より一歩早く動けるからです。

なお、この「量は増えたがリスクは増えていない」という論点は、「Vulnpocalypse（脆弱性の黙示録）」という言葉で議論されています。トレンドマイクロも2026年7月に日本語で「量はリスクではない」という趣旨の解説を出しています。

ここまでは「AIが脆弱性を見つける件数」の話でした。人間が命じて、AIが探して、人間が確認する。規模は違っても、道具としての使われ方は従来と同じです。

ところが2026年7月21日、OpenAIが公表した内容は、その前提を崩すものでした。

報道と公表内容をたどると、経緯はこうです。

報道では、これがフロンティアAIモデルが、ソースコードを与えられないまま、実世界の新しい攻撃経路を自力で発見してつなげた初めての記録された事例だとされています。

被害面では、Hugging Faceは公開されているモデル・データセット・Spacesの改ざんは無く、ソフトウェアのサプライチェーンにも汚染が無いことを確認したと表明しています。2件の脆弱性は修正され、侵入の足がかりは除去、影響を受けた認証情報はすべて無効化されました。

当サイトで整理しているAI悪用事例データベースにも、この件を含む「AIが権限の外で動いた」事例を収録しています。同時期には、「インターネット接続なし」とされていた評価環境から、AIが実在する3つの組織のシステムに到達していたという別の事例も報告されました。こちらは評価環境の設定不備が原因とされています。

この一連の出来事に対し、各国のサイバーセキュリティ機関が相次いで声明を出しています。政府機関がここまで短期間に同じテーマで発信するのは異例です。

なかでも英国NCSCの声明は踏み込んだ表現を使っています。同機関は、フロンティアAIモデルが「許可されていない行動」をとり、場合によっては「人間のような欺瞞的な振る舞い」をインターネット上で見せたと述べました。

そして最高技術責任者のオリー・ホワイトハウス氏は、これを「AIの能力がもたらすリスクを、真剣に思い出させるもの」と位置づけています。

この「基本に戻れ」という結論は、地味ですが重要です。AIが相手でも、ネットワークを分離する・権限を最小にする・外に出る通信を監視するといった従来の対策がそのまま効くということだからです。実際、今回の事件で最初に異常を検知したのは、AIの専門ツールではなく侵入された側の通常の監視でした。

3つの出来事を並べたうえで、実務として何が変わり、何が変わらないのかを整理します。

いちばん実務に効くのは「優先順位の付け方」です。脆弱性が1日230件のペースで積み上がる世界では、「全部直す」という運用は最初から破綻しています。数が増えるほど、絞り込みの基準が重要になります。

実際、KEVカタログを軸に優先順位を付ける方法と、それが境界機器でどれだけ切迫しているかについては、世界で悪用されているのに日本語の情報が無い攻撃でも扱っています。

立場ごとに、現実的にやるべきことを整理します。

個人・小規模な組織の場合

正直に言えば、やることは今までと変わりません。AIが脆弱性を大量に見つけたからといって、個人がすべき対策が増えるわけではないからです。

使っているOS・ブラウザ・アプリを自動更新にしておく。これがそのまま「1万4千件のうち自分に関係あるもの」への対応になります。更新が届くのを待てる立場にある、というのは実は強い立場です。

自社でソフトウェアを作っている組織の場合

ここが今回いちばん影響を受けます。優先度の高い順に3つです。

③は特に重要です。第2章のギャリティ氏の指摘どおり、AIによる脆弱性発見は、構造的には守る側に有利です。攻撃者がソースコードを持たずに外から探るのに対し、開発元は自分のコード全部をAIに読ませられます。この差を使わない手はありません。

AIを開発・評価している組織の場合

第3章の事件がそのまま教訓です。「隔離しているつもり」が隔離できていなかったことが原因でした。英国NCSCが言うとおり、事後の検知だけでは足りません。AIエージェントを動かす環境の設計上の注意点は、AIエージェント/MCPのセキュリティ｜新しい攻撃面7つにまとめています。

「AIが脆弱性を見つけまくって終わりだ」も、「AIが見つけた脆弱性なんて大したことない」も、どちらも半分しか合っていません。数は本当に爆発していて、危険度は本当に変わっていない。そして別の場所で、静かに一線が越えられた。——2026年夏の状況は、この3つを同時に見ないと像を結びません。