サイバーセキュリティ業界で前提とされてきた「パッチ対応までの猶予」が、AIの普及によって急速に縮みつつある。Axiosは21日（現地時間）、脆弱性の公表から実際の攻撃に至るまでの時間が短くなっており、企業は数日や数週間ではなく、数時間単位での対応を迫られる可能性があると報じた。

これまで防御側は、脆弱性が公開された後、優先順位を見極めたうえで段階的にパッチを適用する時間を確保できるとみられてきた。だがAIの進展により、その前提が揺らいでいる。

Microsoftは7月、600件を超える脆弱性に対応する修正パッチを提供した。Axiosは、これは過去最大規模であり、防御側が把握し、優先順位を付けて対処すべきソフトウェア上の欠陥がそれだけ増えていることを示していると、専門家の見方を紹介した。

Trend MicroのZero Day Initiativeで脅威インテリジェンス部門を率いるダスティン・チャイルズ氏は、「脆弱性の洪水が押し寄せている」と述べた。

AIは、防御側と攻撃側の双方に影響を及ぼす。AIの活用によって従来以上に多くの脆弱性が発見される一方で、攻撃者が組織のパッチ適用速度を大きく上回るペースで欠陥を武器化できるとの懸念も強まっている。

セキュリティ企業Dreamの脅威分析責任者、ヒド・コーエン氏は、重大な欠陥の公表からわずか9時間で実際に動作する攻撃コードが作成され、政府機関の顧客が標的になった事例を把握していると明らかにした。同氏は「9時間では、一般的なパッチ承認プロセスが始まる前に時間切れになってしまう」と指摘した。

もっとも、AIが攻撃のスピードを押し上げる以前から、企業は重大な欠陥を迅速に修正できていなかった。Verizonの年次データ侵害報告書によると、昨年、企業が重大な欠陥を修正するまでに要した日数の中央値は43日となり、2024年の32日から増加した。

こうした状況を受け、業界の関心は脆弱性の発見を支援するAIから、攻撃を受ける前に組織が優先順位付けや対応、修正を進められるよう支援するAIへと移りつつある。一部のセキュリティ企業は、低コストで常時運用できる点を売りに、脆弱性の分類に特化した小規模言語モデルをすでに投入している。