AIが2ヶ月でOSS脆弱性1.4万件超を自動発見
- Unit 42が自律型AIシステム「NOVA」で3915件のOSSプロジェクトを解析
- 1万4090件の脆弱性を確認、うち99.4%が未公表で40%が高〜緊急レベル
- 脆弱性発見が高速化し、パッチ適用までの猶予期間が急速に短縮していると指摘
かんたんに言うと
AIが自動でソフトウェアの隠れた欠陥を大量に見つけられるようになり、悪い人がそれを悪用するまでの時間がどんどん短くなっています。自社が使っているソフトの更新(パッチ)を今まで以上に早く適用する仕組みが必要です。
AIセキュリティとの関連: AI自身が脆弱性発見を自動化・産業化した事例で、AIサプライチェーン全体の防御体制の見直しを迫る動向のため。
何が起きたか
Palo Alto NetworksのUnit 42は、フロンティアAI(最先端の大規模言語モデル)を活用した自律型脆弱性発見システム「NOVA」を開発したと発表した。NOVAは人間の介入なしにソースコードを解析し、脆弱性候補の特定から動作する検証コード(PoC)の作成、パッチ案の生成、報告書作成までを自動で行う。2ヶ月間で3915件のオープンソースソフトウェア(OSS)プロジェクトを解析し、1万4090件の脆弱性を確認したとしている。うち99.4%は既存の公開情報に記載のない未報告のものだったという。また全体の40%が「高」または「緊急」レベルの深刻度に分類されたとされる。Go、JavaScript/TypeScript、PHP、C/C++、Java/JVMなど6つの主要なエコシステム全てで発見があったと報告している。
誰に・どう影響するか
大企業にとっては、自社が依存する広範なOSSコンポーネントに未知の脆弱性が潜んでいる可能性が具体的な規模で示された点が重要だ。特にサプライチェーン全体への影響が大きいライブラリ群(Go、JavaScript系パッケージなど)は、直接使っていなくても間接的に影響を受ける恐れがある。中小企業においても、Webアプリケーションやサーバー構築に使われるPHPやJavaなどのOSS基盤に依存しているケースは多く、無関係とは言えない。Unit 42は、脆弱性発見が高速化することで公開から悪用までの「パッチ適用の猶予期間」が縮小していると指摘している。攻撃者側も同様の自動化技術を使える可能性があり、修正パッチが出る前に攻撃コードが作られるリスクが増すとされる。
今すぐやるべきアクション
- 自社で使用しているOSSコンポーネントの棚卸し(SBOM作成)を進める
- 脆弱性管理プロセスを見直し、パッチ適用までの時間短縮を検討する
- ゼロトラストアーキテクチャなど、パッチ適用前でも被害を抑える多層防御を強化する
- 利用中のOSSプロジェクトのセキュリティ情報・アドバイザリを定期的に確認する体制を整える
- 自組織向けのAI活用脆弱性診断(ペネトレーションテスト等)の導入を検討する
重大度の判定理由
重大度「高」: 悪用の確認例はないが、未報告の脆弱性が大量かつ広範囲のOSSに存在し、悪用までの時間短縮が指摘されている