AIによるバグ発見急増でCVE番号予測を大幅に修正

セキュリティインシデント対応組織であるFIRSTは、2026年の共通脆弱性識別子（CVE）登録件数の年央予測レポートを公開し、予測件数を約6万6000件へと上方修正しました。これは2026年上半期までの実績が当初予測を46.3%（6,420件）も上回ったためで、その背景にはAIを用いた自律的な脆弱性探索の普及があります。

1. AIエージェントと登録体制強化がもたらす影響

Mozillaでは、Anthropicの研究プロジェクト「Project Glasswing」のAIエージェントを活用し、2026年第1四半期の脆弱性開示件数が前年同期比で164%増加しました。AIエージェントをファジング環境に組み込むことで、開発段階において271件の不具合を自律的に特定・修正しています。また、各種セキュリティプラットフォームのキュレーション体制強化も全体数を押し上げています。

2. 「エフェメラルソフトウェア」の台頭と優先度管理

AIアシスタントなどが一時的に生成・廃棄する業務アプリなどの「エフェメラルソフトウェア」は、ライフサイクルが短く従来のCVE管理プロセスに載らないため、社内に見えない脆弱性として蓄積するリスクがあります。脆弱性の発見コストが低下したことで人間の修正・検証が追いつかない状況が発生しており、優先的に対処すべき深刻な脆弱性に限定して選別する動的システムが必要です。

AIの進化は、サイバーセキュリティ対策に「脆弱性情報の氾濫」というパラドックスをもたらしました。防御側は、AIが次々に発見する膨大な脆弱性をすべて手作業で検証・適用するような従来のアプローチを放棄しなければ、早晩業務が破綻します。今後は、自社システムにおける露出状況やリスク評価モデルを活用し、優先順位を機械的に判定する仕組みの整備が不可欠です。