「90日間」という安全神話が崩れた
セキュリティの世界には長年、一つの共通認識がありました。ソフトウェアの脆弱性が発見されたら、開発者に90日間の修正猶予を与えてから情報を公開する、というルールです。Googleの著名なセキュリティチーム「Project Zero」をはじめ、業界全体がこの枠組みを標準として採用してきました。
しかしAIの台頭によって、その前提が根底から揺らいでいます。専門家たちが指摘しているのは、90日という期間がもはや「防御のための時間」ではなく、「攻撃者がツールを磨くための露出期間」になってしまっているという現実です。
30分で完成するエクスプロイト
少し前まで、セキュリティ研究者が脆弱性を解析して実際に動く攻撃コード（エクスプロイト）を作り上げるには、数週間から数ヶ月の時間と高度な専門知識が必要でした。いわば熟練職人の手仕事に近い、根気のいる作業だったわけです。
ところが今、AIはこのプロセスをほぼ自動化できます。セキュリティパッチの内容を読み込んで「どこに穴があったか」を逆算し、そこを突く攻撃コードを生成するまでのサイクルが、30分以内に収まるケースが報告されています。研究者が検証目的で使うツールと、悪意ある攻撃者が使うツールが同じAIである以上、この境界線はどんどん曖昧になっています。
何がどう変わったのか、具体的に見てみると
たとえば、あるWebアプリケーションのフレームワークに認証回避の脆弱性が見つかったとします。従来であれば、開発チームがパッチを準備して配布し、利用者がそれを適用するまでの90日間は「事実上の猶予期間」として機能していました。攻撃者側が脆弱性を解析してツールを作るにも時間がかかっていたからです。
ところが今は、パッチが公開された瞬間にAIがその差分を解析して攻撃コードを生成できます。パッチを当てていない環境は、公開から数時間以内に標的になりうるということです。フリーランスのWeb制作者が管理するWordPressサイトや、個人開発者が運営するSaaSサービスも、例外ではありません。
もう一つ具体的な例を挙げると、企業のVPN機器に脆弱性が公表された場合です。従来は攻撃者が組織化されたグループでなければ迅速な悪用は難しかったのですが、AIを使えば技術力の低い攻撃者でも短時間でエクスプロイトを手に入れられる状況になっています。セキュリティ研究者の間では、これを「職人的ハッキングから商品規模の脅威生成への移行」と表現しています。
業界全体で起きている認識の変化
セキュリティリーダーたちの間では今、「予防第一」へのマインドセット転換が強く呼びかけられています。重大な脆弱性はすべて「ティア0の緊急事態」として扱い、パッチ適用を後回しにしない姿勢が求められています。
さらに深刻なのは、AI基盤自体が理論上、無制限のゼロデイエクスプロイト（まだ誰も気づいていない脆弱性への攻撃）を生成できる可能性を持っているという点です。これはサイバーセキュリティ業界にとって構造的な変化であり、保険業界でも「AIがもたらすリスクをどこまで補償できるか」という議論が始まっています。
フリーランス・個人事業主への影響
「自分は大企業じゃないから関係ない」と思いたいところですが、実情はむしろ逆かもしれません。セキュリティ対策に専任チームを持てない個人事業主やフリーランスこそ、更新が遅れがちなツールやプラグインを使い続けるリスクを抱えやすいからです。
Web制作やシステム開発を受託しているフリーランスの方であれば、クライアント環境の管理責任も絡んできます。「パッチが出たから来月の定期メンテナンスで対応しよう」という従来の感覚は、今の脅威環境には合っていない可能性があります。特に重大な脆弱性については、通知が来たその日のうちに対応できる体制を整えておくことが、以前より重要になっています。
また、AIツールを使ったサービスを提供しているフリーランスの方は、使用しているAPIやSDKのセキュリティ情報にも目を向けておく価値があります。AI関連のライブラリや外部サービスは更新頻度が高く、脆弱性情報の流れも速いため、定期的なチェックを習慣にしておくと安心です。
まとめ
AIによってエクスプロイト生成が「数ヶ月」から「30分」に短縮されたという事実は、セキュリティ対応のスピード感を根本から見直す必要があることを示しています。今すぐ劇的な対策が必要というより、まずは「パッチ適用を後回しにしない」習慣から見直してみるのが現実的な一歩です。使用中のCMSやプラグイン、開発環境の更新通知を定期的に確認する仕組みを作っておくだけでも、リスクはかなり変わってきます。
参考記事：CSO Online – AI and the end of the 90-day vulnerability window
コメント