日本IBM、AI時代の脆弱性管理モデルを提示

日本IBMの河野哲也氏は「インプレス AI Days 2026」で、フロンティアAIの進化に伴い脆弱性の発見から悪用までの時間が縮まり、企業は開発段階と本番環境を通じた脆弱性管理が必要だと説明しました。イベントはインプレス主催で、2026年9月15日〜16日に開催されました。河野氏は、脆弱性の件数が増えているだけでなく、見つかった脆弱性がすぐ悪用される点が問題だと指摘しました。

金融庁は2026年5月、フロンティアAIによる脅威を踏まえて金融機関に短期的な対応を求めました。発見から攻撃までの速度と規模が拡大しているとして、大量の脆弱性やパッチが発生することを前提に、経営主導で資産管理、脆弱性管理、監視体制を早急に強化するよう求めています。新規登録されるCVE（共通脆弱性識別子）は2016年の約6400件から増え、河野氏の見込みでは2026年に約5万9000件と700%以上増加します。増加傾向はフロンティアAI登場前から続いており、AI技術は脆弱性の発見も加速させています。

河野氏が示した脆弱性公開から悪用までの時間（TTE）の予測では、2021年ごろまで「1年」だった期間が、2025年に「1カ月」、2026年に「1週間」から「1日」、2027年に「1時間」、2028年に「1分」へ縮まります。河野氏は、現時点ですでに平均29分で悪用されるという数字もあると述べました。すべての脆弱性に対応するのは現実的ではないため、事業への影響と悪用リスクを基準に優先順位を付け、迅速に対応する必要があるとしています。

河野氏が提示した管理モデルは、本番環境のリスクを継続監視してパッチ適用などを行う「Shift Right」と、開発段階でリスクを減らす「Shift Left」を両立させます。AIによるコード生成が広がる一方、レビューが追いつかず、脆弱性が混入するリスクが高まっているためです。現場では、スプレッドシートによる手作業の情報整理に工数がかかること、優先順位の判断に迷うこと、システムごとに分かれた対応状況を組織全体でリアルタイムに把握できないことが課題だと河野氏は説明しました。

日本IBMの製品群「IBM Concert」は、ソフトウェア開発ライフサイクル（SDLC）全体の保護を担います。中核製品「IBM Concert Protect」は、スキャンツールが発見した脆弱性情報を集約し、影響範囲の特定、リスク算出、優先順位付けを経て修正につなげます。Shift Right側の情報源として、Palo Alto Networksの「Prisma Cloud」、オープンソースの脆弱性スキャナー「Trivy」、脆弱性管理サービス「Qualys」、AWSの「Amazon Inspector」など既存ツールを利用します。仮想マシン、コンテナイメージ、ソースコードの検出結果に、本番環境か検証環境か、外部公開の有無、他システムとの連携状況といったシステムの文脈情報を組み合わせ、優先順位を判断します。

日本IBMの河野哲也氏は「インプレス AI Days 2026」で、フロンティアAIの進化に伴い脆弱性の発見から悪用までの時間が縮まり、企業は開発段階と本番環境を通じた脆弱性管理が必要だと説明しました。イベントはインプレス主催で、2026年9月15日〜16日に開催されました。河野氏は、脆弱性の件数が増えているだけでなく、見つかった脆弱性がすぐ悪用される点が問題だと指摘しました。

金融庁は2026年5月、フロンティアAIによる脅威を踏まえて金融機関に短期的な対応を求めました。発見から攻撃までの速度と規模が拡大しているとして、大量の脆弱性やパッチが発生することを前提に、経営主導で資産管理、脆弱性管理、監視体制を早急に強化するよう求めています。新規登録されるCVE（共通脆弱性識別子）は2016年の約6400件から増え、河野氏の見込みでは2026年に約5万9000件と700%以上増加します。増加傾向はフロンティアAI登場前から続いており、AI技術は脆弱性の発見も加速させています。

河野氏が示した脆弱性公開から悪用までの時間（TTE）の予測では、2021年ごろまで「1年」だった期間が、2025年に「1カ月」、2026年に「1週間」から「1日」、2027年に「1時間」、2028年に「1分」へ縮まります。河野氏は、現時点ですでに平均29分で悪用されるという数字もあると述べました。すべての脆弱性に対応するのは現実的ではないため、事業への影響と悪用リスクを基準に優先順位を付け、迅速に対応する必要があるとしています。

河野氏が提示した管理モデルは、本番環境のリスクを継続監視してパッチ適用などを行う「Shift Right」と、開発段階でリスクを減らす「Shift Left」を両立させます。AIによるコード生成が広がる一方、レビューが追いつかず、脆弱性が混入するリスクが高まっているためです。現場では、スプレッドシートによる手作業の情報整理に工数がかかること、優先順位の判断に迷うこと、システムごとに分かれた対応状況を組織全体でリアルタイムに把握できないことが課題だと河野氏は説明しました。

日本IBMの製品群「IBM Concert」は、ソフトウェア開発ライフサイクル（SDLC）全体の保護を担います。中核製品「IBM Concert Protect」は、スキャンツールが発見した脆弱性情報を集約し、影響範囲の特定、リスク算出、優先順位付けを経て修正につなげます。Shift Right側の情報源として、Palo Alto Networksの「Prisma Cloud」、オープンソースの脆弱性スキャナー「Trivy」、脆弱性管理サービス「Qualys」、AWSの「Amazon Inspector」など既存ツールを利用します。仮想マシン、コンテナイメージ、ソースコードの検出結果に、本番環境か検証環境か、外部公開の有無、他システムとの連携状況といったシステムの文脈情報を組み合わせ、優先順位を判断します。