- FIRSTが2026年のCVE（脆弱性の公式リスト）予測を約6万6000件へ上方修正
- 原因はAIによる脆弱性発見の急増。Firefox向けの報告は前年比164%増
- Claude MythosやGoogle Big SleepなどのAIが、人間が何年もかけて見つける数を数週間で発見
- 攻撃側もAIを使い、脆弱性が「武器」になるまでの時間は2.3年から1日未満に短縮
- 日本でもIPAの脅威ランキングにAIリスクが初登場。企業の対応が急務に
「セキュリティの世界で、今までの常識がひっくり返ろうとしている」と言われたら、信じられますか。
2026年6月、世界のセキュリティ専門家が集まる組織FIRSTが、ある衝撃的な数字を発表しました。今年見つかる脆弱性（プログラムの弱点）の数を、約6万6000件に上方修正したのです。
その引き金を引いたのは、ほかでもないAIでした。この記事では、何が起きているのか、私たちにどんな影響があるのかを、やさしく解説します。
FIRSTが警告「AIが脆弱性を掘り起こし過ぎる時代」へ
まず、FIRST（ファースト）について説明します。世界中のセキュリティ対応チームが加盟する国際組織です。
そのFIRSTが2026年6月15日、最新レポートを公開しました。内容は、今年のCVE（脆弱性に付けられる世界共通の番号）の登録数についてです。
当初の年間予測は5万9427件でした。しかし2026年前半だけで、予測を46.3%も上回るペースで脆弱性が見つかりました。超過した分は6420件にのぼります。
この勢いを受けて、FIRSTは年間予測を約6万6000件へと引き上げたのです。
レポートは現状をこう表現しました。AIによる脆弱性発見が、単なる「作業の自動化」を超える段階に入った、と。まさに「掘り起こし過ぎる時代」の到来です。
数字で見る、AIがもたらしたインパクト
「本当にAIのせいなの？」と疑問に思うかもしれません。具体的なデータを見ると、その影響の大きさがわかります。
もっともわかりやすいのが、ブラウザ「Firefox」を開発するMozilla（モジラ）の例です。
Firefoxに関するAI支援ツール由来の脆弱性報告が、2026年の最初の3か月で前年比164%も急増しました。Firefox 150の開発中には、271件もの不具合が見つかり報告されたといいます。
ほかの組織でも同じ傾向が出ています。
- GitHub Security Advisories（開発者向けの脆弱性情報サービス）：新規登録が449%増加
- VulnCheck（脆弱性データ企業）：未処理だった脆弱性の山が3119%増加
つまり、AIがあちこちで弱点を見つけ出し、報告が一気に膨れ上がっているのです。
AIはどうやって脆弱性を見つけるのか
では、AIは具体的にどんな働きをしているのでしょうか。代表的な3つの取り組みを紹介します。
Google「Big Sleep」——人間の手を借りずに発見
Big Sleep（ビッグスリープ）は、GoogleのAI部門DeepMindと、精鋭ハッカーチームProject Zeroが共同開発したAIです。
このAIは、広く使われているオープンソースソフト（無料で公開されているプログラム）から、20件もの未知の脆弱性を発見しました。動画処理ソフトの「FFmpeg」などが対象です。
驚くべきは、その過程です。発見も再現も、人間の介入なしにAIだけで完結しました。中には、攻撃者だけが知っていた危険な弱点も含まれていたといいます。
Anthropic「Project Glasswing」——27年見逃された弱点を発見
AI企業Anthropic（アンソロピック）は2026年4月、Project Glasswing（プロジェクト・グラスウィング）を発表しました。
これはソフトを守るための業界横断プロジェクトです。Apple、Microsoft、Google、Linux財団など11の大手が参加しています。
同社のAI「Claude Mythos」は、数千件もの高リスク脆弱性を見つけました。中にはOpenBSDで27年間、FFmpegで16年間も見逃されていた弱点が含まれます。
さらに、AIの実力差も明確です。Mythosはあるテストで271件のFirefox脆弱性を発見し、181個の動く攻撃コードを作成しました。1世代前のモデルがわずか2個だったのと比べると、その差は歴然です。
OpenAIも参戦——専門チーム向けに提供
OpenAIも動いています。最新モデルの派生版「GPT-5.5-Cyber」を、審査を通過したセキュリティチーム向けに限定公開しました。
主要なAI企業が、こぞって脆弱性発見の分野に乗り出しているのです。
攻撃者もAIを使う——「2.3年→1日」の恐怖
ここで考えてみてください。AIが弱点を見つけられるなら、悪意のある攻撃者も同じことができます。
実際、もっとも深刻なのが「時間の短縮」です。
脆弱性が公開されてから、実際の攻撃の「武器」に変わるまでの平均時間。これが2019年には2.3年もありました。ところが2026年には、1日未満にまで縮まっています。
これは守る側にとって悪夢のような変化です。弱点が見つかってから対策を打つまでの猶予が、ほとんど無くなったのです。
FIRSTも警告しています。今やボトルネック（一番の詰まりどころ）は「弱点を見つける能力」ではなく、「人間による検証や修正の作業」に移った、と。AIが大量に報告しても、直す人間が追いつかないのです。
従来のセキュリティ対策と何が違うのか
「これまでもセキュリティ対策はあったのに、何が変わったの？」と思う方へ。違いを整理します。
- 発見スピード：従来は専門家が手作業で年に数十件。AIは数週間で数千件レベル
- 対象の深さ：従来は見逃されてきた20年以上前の弱点まで、AIが掘り起こす
- コスト：高度なスキルを持つ人材が不要になり、攻撃も防御も低コスト化
- ボトルネック：従来は「発見」が難所。今は「検証と修正」が追いつかない
注意したいのは、AIの報告がすべて正しいわけではない点です。FIRSTは、AIが作る低品質な報告が、本物の脆弱性に似ていても役立たない場合があると指摘しています。玉石混交の報告から本物を見分ける手間も増えているのです。
日本企業・ユーザーへの影響
この変化は、遠い海外の話ではありません。日本にも確実に押し寄せています。
象徴的なのが、IPA（情報処理推進機構）の動きです。毎年発表される「情報セキュリティ10大脅威」で、2026年に初めて「AI関連のリスク」がランクインし、3位に入りました。
政府も対応を急いでいます。AIを使った脆弱性点検を、システムの提供元に要請する案が出ています。
では、私たちは何をすべきでしょうか。難しく考える必要はありません。
ある中小企業のシステム担当者を想像してみてください。これまでは「うちは小さいから狙われない」と考えていたかもしれません。しかしAIは、相手の規模に関係なく自動で弱点を探します。小さな会社も例外ではないのです。
だからこそ、基本が大切です。ソフトを最新版に保ち、公開されたパッチ（修正プログラム）をすぐ適用すること。この当たり前の習慣が、これまで以上に重要になっています。
よくある質問（FAQ）
Q1. CVEとは何ですか？
CVEは、見つかった脆弱性に付けられる世界共通の管理番号です。「CVE-2026-12345」のような形式で、どの弱点かを世界中で同じ名前で呼べるようにしたものです。
Q2. 脆弱性が増えると、私たちにどんな危険がありますか？
放置された弱点は、情報漏えいやアカウント乗っ取りの入り口になります。使っているソフトの更新を後回しにすると、リスクが高まります。
Q3. AIが脆弱性を見つけるのは良いことですか、悪いことですか？
両面あります。守る側が先に弱点を直せれば安全になります。一方で攻撃側に悪用されれば危険です。スピード勝負になっているのが現状です。
Q4. 個人ユーザーは何をすればいいですか？
スマホやパソコン、ブラウザの自動更新をオンにするだけでも効果的です。更新通知が来たら、なるべく早く適用しましょう。
Q5. なぜ修正が追いつかないのですか？
AIは弱点を大量に報告できますが、それが本物か確認し、安全に直すのは人間の仕事だからです。報告の量に人手が追いつかない状態です。
まとめ
今回のポイントを振り返ります。
- FIRSTは2026年のCVE予測を約6万6000件へ上方修正した
- 原因はAIによる脆弱性発見の急増。Firefox関連の報告は前年比164%増
- Google Big SleepやClaude Mythosが、人間を超える速さで弱点を発見
- 攻撃の武器化は2.3年から1日未満へ短縮され、対応の猶予が消えた
- 日本でもAIリスクが脅威ランキング入り。基本のアップデートが鍵
まずは身の回りのソフトを最新版に更新することから始めてみましょう。それが、AI時代のセキュリティを守る第一歩です。
参考文献
- AIが脆弱性を掘り起こし過ぎる時代へ FIRSTがCVE予測を6万6000件に上方修正（＠IT）
- 2026年前半の脆弱性件数は前年比で46%増：FIRSTが示すデータ（IoT OT Security News）
- Project Glasswing: Securing critical software for the AI era（Anthropic）
- Google’s AI Big Sleep discovers twenty new security vulnerabilities（Techzine）
- AI使い脆弱性点検、システム提供元に要請 国の対応案（日本経済新聞）
こんな時代だから遊んで学びたい
AIを学ぶオンラインサロン「AIフレンズ」では、生成AIを楽しく、どこよりも優しく学べる環境をご用意しております。
毎週開催されるオンラインセッションでは、リアルタイムで学び合える機会を提供しています。 さらに、月に一度のオフラインイベントでは、メンバー同士が直接交流し、アイデアや知識を深めることができます。
「AIフレンズ」の仲間とともに、新しい価値を創造し、可能性を広げてみませんか？
一緒に学び、成長しながら、生成AIを使いこなす力を身につけましょう！
