AIエージェントの普及に伴い、システムの構造や弱点を外部に伏せることで安全を保つ「security through obscurity」が通用しにくくなっている。AIが製品やオープンソースから脆弱性を高速で見つけ出すようになり、開示や修正対応の負荷が急増している。The Registerが13日に報じた。

「security through obscurity」は、システム構造や脆弱性を外部に明かさなければ安全性を維持できるとする考え方だ。企業がソフトウェアコードやネットワーク設計を公開せず、安全性を確保しようとする手法として用いられてきたが、AIによる脆弱性探索が一般化したことで、その前提が揺らいでいる。

報道によると、ソフトウェア企業や独立系の研究者はAIエージェントを活用し、製品やオープンソースコードからバグを発見している。何十年も見過ごされてきた脆弱性も少なくないという。この結果、脆弱性の公開やパッチ適用は記録的な水準で増え、開発・運用側の負担が重くなっている。

米連邦捜査局（FBI）サイバー部門の副局長、ブレット・レダーマン氏は、Webサーバーの約8割で使われるオープンソースライブラリについて、「コミュニティは10年にわたり安全だと考えていたが、最新のAIモデルが深刻な脆弱性を見つけた」と述べた。

Trend MicroのZero Day Initiativeを統括するダスティン・チャイルズ氏は、Microsoftが974件の脆弱性（CVE）に一括で修正を適用した事例を紹介した。パッチ対象には、Telnetクライアントや、1980年代のUNIX技術であるNFSポートマッパーのような、長く顧みられてこなかった古いコンポーネントも含まれていたという。

専門家が特に警戒しているのが、産業制御システム（ICS）を含む運用技術（OT）領域への波及だ。Google Threat Intelligence Groupのシニアアナリスト、ジョン・ハルトクイスト氏は、「OTシステムは、限られた専門家だけが持つ知識によって守られてきたが、もはやそのやり方は持続しない」と指摘した。

実際、米政府の5機関は最近、攻撃者がAIで生成したエクスプロイトスクリプトを使い、SiemensのS7シリーズPLCに対する攻撃を実行したと警告している。

Luta Security創業者のケイティ・ムソウリス氏は、「security through obscurity」は当初から有効ではなかったとした上で、AIは防御技術よりも攻撃技術の進化をはるかに速めたと述べた。

一方で、AIが生成する修正案の精度には限界もある。OnePasswordの研究チームは、CVEを巡る検証を実施した。

同チームは6件のCVEを対象に、ChatGPT-5.5とOpus 4.8を使って6080件のパッチ案を生成した。その結果、脆弱性を完全に解消できた割合は26％にとどまった。修正できなかったケースや、新たな脆弱性を生んだケースは53.9％に達した。Veracodeの調査でも、100超のモデルと80件のコーディング課題を対象としたセキュリティ通過率は平均56％にとどまった。