AIセキュリティ
レッドハット
AIが変えた脆弱性管理
脆弱性公表前に始まる攻撃への備えとは
生成AIは企業の業務のあり方を大きく変化させるメリットをもたらした。一方で、サイバー攻撃の手口も激変させている。攻撃者がAIを駆使することで、脆弱性が公開される前に攻撃が始まるケースが常態化し、2025年にはそのリードタイムが「マイナス7日」に達したというデータもある。こうした「猶予ゼロ」の時代に、企業はどう脆弱性を管理すべきなのか。レッドハットでLinux製品技術を担当する橋本賢弥氏に、AI時代に求められるセキュリティのあり方と同社の最新の取り組みを聞いた。（聞き手：日経BP 総合研究所 上席研究員 菊池 隆裕）
脆弱性に対する攻撃のリードタイムがマイナスに
技術営業本部 アソシエイトプリンシパルソリューションアーキテクト
橋本 賢弥 氏
菊池 サイバーセキュリティ特化型のAIモデル「Claude Mythos」の発表は、世界のセキュリティ業界を震撼させています。AIの進化によってセキュリティを取り巻く環境はどのように変わりましたか。
橋本 ここ1～2年で生成AIが急速に普及し、高度な基盤モデルも次々に登場しています。攻撃側も防御側もAIを活用する時代になりました。ある企業が公開しているレポートでは、2018年頃は脆弱性公開から攻撃開始までのリードタイムが平均約63日ありました。ところが、2025年には脆弱性が正式に公開される前から攻撃の兆候が観測されるようになり、リードタイムはマイナス7日になっています。
菊池 企業側の対応スピードも、攻撃者のスピードアップに合わせないといけませんね。
橋本 本質的には、ソフトウエアに存在する脆弱性そのものが増えたというより、発見される数が増えた、ととらえることができます。しかし、対応に許される猶予が圧倒的に短くなりました。これまでは定期的なパッチ適用である程度カバーできましたが、現在ではそのサイクルでは攻撃に間に合わないケースが増えています。企業側は、脆弱性を検知したら即座に評価し、迅速に対処できる体制を整えなければなりません。最近では金融庁もサイバーセキュリティを重要な「経営課題」と位置づけており、国としても情報システム部門だけの問題ではないと明確に示す時代になっています。
菊池 生成AIの普及によって、その流れがさらに加速したということでしょうか。
橋本 そう考えています。AIによって攻撃側のスピードが上がれば、防御側もそれに合わせた運用をしなければなりません。従来と同じやり方では対応できなくなってきています。
脆弱性管理は「出た順から全部直す」から「対応優先順位を付ける」へ
菊池 具体的に企業にはどのような脆弱性管理が求められるのでしょうか。
橋本 脆弱性は日々数多く報告されます。すべてに同様にソフトウエアの修正などの対応をしようとすると、現場の運用が回らなくなります。本当にリスクがあるものを見極め、優先順位を付けることが重要です。ただ、その判断には、オープンソースソフトウエアやセキュリティに関する専門的な知識が求められます。そうした体制を自社だけで整えることは、多くの企業にとって容易ではありません。
レッドハットはオープンソースの世界をよく知る会社として、製品の脆弱性の修正を行うことはもちろん、さまざまな取り組みを行っています。その1つとして、オープンソースのセキュリティ問題を専門的に評価するチームを運営しています。四半世紀以上にわたる歴史があるチームです。何か脆弱性があった場合に影響する範囲や、危険度、緩和策などについて評価します。それら情報を、自社製品に対する脆弱性データベースとして公開しています。
菊池 オープンソースならではの取り組みもありますか。
橋本 もう1つの取り組みが、CNA（CVE Numbering Authority）を統括するRoot CNAとしての活動です。CNAとは、CVE番号を採番・管理する組織のことです。レッドハットは、小規模でリソースに制限のあるオープンソースプロジェクトのCVE管理も支援し、脆弱性情報を適切に扱えるよう取り組んでいます。Linuxを提供する会社というイメージが強いレッドハットですが、その裏側では、オープンソース全体のセキュリティ品質を維持する活動を続けていて、企業が安心してオープンソースを利用できる環境に貢献しています。
AIで脆弱性対応を高速化、長期サポートを実現
菊池 脆弱性を発見した後の対応に変化はありますか。
橋本 最新の取り組みとして「Project Lightwell」があります。AIを活用した脆弱性対応の一環として、お客様の利用するオープンソースソフトェアで見つかった脆弱性をどれだけ早く、確実に修正していくかを追求するプロジェクトです。これは、IBM社と協業して立ち上げたもので、正式なサービスとしてレッドハットから提供することが決まったばかりです。
菊池 これ以外にも、2026年5月に開催したRed Hat Summitでは新しい発表がありました。
橋本 お客様により安心して製品を使っていただくため、Red Hat Enterprise Linux（RHEL）をより長くメンテナンスする新しいモデルを発表しています。極論すると「永遠に」メンテナンスするという考え方です。利用期間に合わせて脆弱性修正を継続的に提供する新しいサポートプランです。
もちろん、「本当にそんなことができるのか」という疑問もあると思います。そこで私たちはAIを活用しています。AIで脆弱性を見つける話をしてきましたが、それを製品開発にも活用する考え方です。1年以上前から、AIによる脆弱性発見の取り組みをすでに始めており、また製品開発のワークフローでもAIを活用し、脆弱性のリスク評価や修正案の作成、テストの自動化にも適用しようとしています。こうした取り組みによって、多くのバージョンを長期間サポートできる体制につながっています。
菊池 レッドハットの取り組みだけでなく、オープンソースコミュニティがどのように活動しているのかについても理解を深めることができました。セキュリティは、正しく理解し、正しく備えることが大切であり、レッドハットとともに新しい時代に備えていただければと思います。
