生成AI「Mythos」が脆弱性候補を大量に見つけ、Firefoxの20年物バグも検出したと報じられている。AIによる発見の速度が現場の対応にどう影響するかが議論されている。
米AI企業Anthropicが開発した脆弱性発見AI「Mythos Preview」が、オープンソースソフトウェアの脆弱性候補を2万3,019件検出したとされる。対象にはnginx、jq、MapServer、wolfSSLといった広く使われるソフトウェアが含まれる。併せて、Mozilla Firefoxで長年見逃されていた20年物のメモリ関連脆弱性をも発見したという。これにより、従来の人間の専門家や自動検査だけでは見つけきれなかった脆弱性領域へAIが踏み込んでいると解説されている。
一方で、英国AI Security Instituteの評価は、管理された環境下でMythosが複数段階の攻撃を自動的に進め、脆弱性を発見・悪用する可能性を示したと指摘する。ただし実環境での攻撃成功まで断定したわけではなく、防御側の検証・パッチ適用の重要性が強調されている。
本文は、脆弱性を大量に見つける力が生まれる一方、企業側には修正作業の速度と優先順位付け、影響範囲の検証と本番適用の体制整備が求められると伝える。Mozillaのケースなどを通じて、防御側が先手を打つことで被害を抑える可能性があるとの見解も示される。
日本企業が見るべき課題としては、AIが見つけた脆弱性を待つのではなく、見つかった後の対応体制をどう整えるかが挙げられる。OSやブラウザのパッチ適用だけでなく、独自システムでは修正の検討・影響評価・テスト・本番適用までの工程をどう回すかが焦点になる。