2026年5月11日 22:53
AIがパッチから30分で攻撃コードを自動生成
AI turns patches into working exploits in 30 minutes, and the 90-day disclosure window is the casualty
3行まとめ
- •AIがパッチ差分から30分で攻撃コード生成
- •90日間の脆弱性開示期間が形骸化の危機
- •研究者が開示プロセスの抜本見直しを提唱
詳細
背景
ソフトウェアの脆弱性が発見された場合、開発者に修正の猶予を与えるため、発見者が公表を90日間猶予する「責任ある開示（Responsible Disclosure）」が業界標準として定着している。この90日間という期間は、パッチの開発・テスト・配布に十分な時間として長年にわたり機能してきた。
内容
しかし、AIの言語モデルがセキュリティ分野に応用されたことで、この前提が揺らぎつつある。AIはセキュリティパッチの差分コードを分析し、わずか30分で実際に動作する攻撃コード（エクスプロイト）を自動生成できるようになった。パッチが公開された時点で、攻撃者がAIを使って修正箇所から脆弱性を逆算し、攻撃コードを即座に作成するリスクが現実のものとなっている。
今後の影響
ベテランのセキュリティ研究者は、AIの急速な進化により従来の90日間の開示期間はもはや現実に即していないと指摘し、脆弱性開示プロセスの抜本的な見直しを求めている。パッチ公開から攻撃開始までの時間が大幅に短縮される中、企業や組織はパッチ適用の迅速化とセキュリティ体制の再構築が急務となっている。
なぜ重要か
AIによるエクスプロイト自動生成が現実化し、従来の90日間の脆弱性開示プロセスの見直しが迫られている。
元記事を読む — The Decoder