AIが未知の脆弱性200件｜GitHub報奨金1500万円

監修者伊東雄歩

株式会社ウォーカー CEO。東北大学卒。MENSA会員、JDLA認定講師、健全AI教育協会理事。生成AI×教育・学習科学を専門とし、2億円超のシステム開発プロジェクトを統括。

Google傘下のセキュリティ企業Wizが、AI脆弱性リサーチャー「Atlas」を2026年7月27日に発表
難関ベンチマーク「CyberGym」のLevel 1で90.9%を記録し、公開リーダーボードで1位に
実在のオープンソースから未知の脆弱性を200件超発見。grpcやKubernetes、Linuxカーネルも対象
GitHubで見つけたCVE-2026-3854には、同社史上最高額とされる10万ドル（約1500万円）の報奨金
一方で「見つけたあと直しきれない」問題が深刻化。日本企業にとっても他人事ではない

世界中の開発者が何年も読み込んできたはずのプログラムに、まだ誰も気づいていない穴が200個以上残っていた。しかもそれを見つけたのは人間ではなくAIです。2026年7月27日、Google傘下のWizが公開した「Atlas」は、セキュリティの常識を静かに書き換えようとしています。

Google傘下のWizが公開した「Atlas」とは

発表は2026年7月27日

Wizは、クラウドのセキュリティを専門にするイスラエル発の企業です。

Googleが2026年3月に約320億ドル（約4兆8000億円）で買収したことで、一気に名前が知られるようになりました。Google史上最大級の買収案件です。

そのWizが2026年7月27日に公開したのが「Atlas」。同社は「自律型のAI脆弱性リサーチャー」と呼んでいます。

脆弱性（プログラムに残った、攻撃に使われかねない弱点）を、人間の研究者の代わりに探し出すAIです。

「モデルではなく、システムです」

ここが今回いちばんの特徴かもしれません。

最近のセキュリティAIは、たいてい「専用に鍛えた1つの巨大モデル」として発表されてきました。AnthropicのMythosも、OpenAIのGPT-5.5 Cyberもその路線です。

ところがAtlasは違います。Wizで脆弱性研究を率いるニール・オフェルド氏は、こう説明しています。

「Atlasはモデルではありません。複数のモデルを使うシステムです」

実際、Atlasの内部ではOpenAIのChatGPTとAnthropicのClaude Opusが動いています。つまり競合の技術をそのまま部品として使っているわけです。

それでも両者を単体で使うよりスコアが高い。理由は、工程ごとに得意なモデルへ仕事を振り分けているからだと同社は説明しています。

Atlasはどう動くのか──4段階の分業

まずは地図を描き、次に手分けして探す

Atlasの作業は、大きく4つの段階に分かれています。

第1段階は「攻撃面のマッピング」。コードプロパティグラフ（プログラムの構造とデータの流れを図にしたもの）を作り、外部からの入り口がどこにあるかを洗い出します。

第2段階は「並列ハント」。複数のエージェント（自分で判断して作業を進めるAI）が、それぞれ別の仮説を立てて同時に検証します。1人の研究者が順番に試すのとは、探索の量がまるで違います。

AI同士に議論させ、最後は実際に動かす

第3段階が「敵対的検証」です。ここが面白いところ。

「これは本物の脆弱性だ」と主張するAIと、「いや違う」と反論するAIを競わせます。そのうえで、もう1体のAIが両者の証拠を見比べて判定を下します。

社内の企画会議で、推進派と慎重派に議論させたうえで上長が判断する。あの流れをAIだけで回している、と考えるとイメージしやすいはずです。

第4段階は「トリガーによる証明」。隔離された専用環境で実際にコードを動かし、その入力で本当にクラッシュするかを確かめます。

ここまでやって初めて「発見」と認めます。誤検知（本当は問題ないのに問題だと報告してしまうこと）を減らす狙いです。

「90.9%」の意味──CyberGymという物差し

1507件の本物の脆弱性で試すテスト

Atlasのスコアが話題になっているのは、テストの中身が本気だからです。

CyberGymは、カリフォルニア大学バークレー校が作った評価用のベンチマークです。188のオープンソースプロジェクトから集めた、実在する1507件の脆弱性が題材になっています。

今回Atlasが90.9%を出したのは「Level 1」という難易度。脆弱性の説明文と、まだ修正されていないソースコードだけを渡され、実際にその穴を突いて動かせる再現コード（PoC）を書き上げることが求められます。

「この家のどこかに鍵の掛かっていない窓がある」とだけ言われて、本当にその窓から入ってみせろ、という課題です。説明を読んで納得するだけでは点数になりません。

1年前は20%が限界だった

数字の伸び方が、この分野の速度を物語っています。

CyberGymが公開された2025年時点では、当時の最高性能の組み合わせでも成功率はおよそ20%にとどまっていました。

それが1年あまりで90.9%です。ちなみにこのベンチマーク自体も、運用の過程で34件のゼロデイ脆弱性（世に知られていない未修正の弱点）と、18件の「直したつもりで直りきっていなかった修正」を掘り当てています。

実績は200件超──GitHub史上最高額の報奨金も

対象は誰もが使っているソフト

ベンチマークの点数より重いのが、実地での成果です。

Wizによると、Atlasは実在のオープンソースから未知の脆弱性を200件以上見つけました。検証対象として挙がっているのは、次のような名前です。

grpc（サービス同士をつなぐ通信の仕組み）
dnsmasq（家庭用ルーターなどにも入っているDNSソフト）
Kubernetes（コンテナを束ねて動かす基盤）
gVisor / containerd（コンテナを動かす土台）
Linuxカーネル（サーバーの心臓部）

どれも世界中のエンジニアに何年も読まれ、監査もされてきたコードです。「もう出尽くした」と思われていた場所から、まだ200件出てきたことになります。

10万ドルの報奨金がついた1件

象徴的なのがCVE-2026-3854です。

Atlasの初期バージョンがGitHubで発見したもので、深刻度を示すCVSSスコアは8.7。サーバー上で任意のコマンドを実行され、リポジトリにアクセスされかねないRCE（遠隔からコードを実行される脆弱性）でした。

Forbesの取材では、報奨金は10万ドル（約1500万円）と伝えられています。GitHub側は具体額を明かさず「過去10年以上で最高水準のひとつ」という表現にとどめました。

なおWizは、見つけた脆弱性については修正が出るまで技術的な詳細を伏せると明言しています。開発者に先に知らせ、直る前に攻撃者へヒントを渡さないための配慮です。

Mythos・GPT-5.5 Cyberとの違いを整理する

スコアの比較

同じCyberGym Level 1での比較として、Wizは次の数字を挙げています。

Atlas（Wiz / Google）：90.9%
GPT-5.5 Cyber（OpenAI）：85%
Mythos（Anthropic）：83%

ただし注意も必要です。Microsoftは2026年7月27日、自社のマルチエージェント基盤MDASHが同じCyberGymで95.95%を記録したと発表しています。

測定した難易度や条件が各社で微妙に異なるため、横並びの単純比較は難しいのが実情です。「Atlasが公開リーダーボードで1位」という事実と、「各社が別々の条件で数字を出している」という事実は、分けて受け止めたほうが安全でしょう。

思想の違いのほうが本質

むしろ差が大きいのは、作り方の考え方です。

MythosやGPT-5.5 Cyberは「賢い1人の専門家を育てる」アプローチ。Atlasは「複数の専門家をチームとして組み合わせる」アプローチです。MicrosoftのMDASHも100体以上のエージェントを束ねる構成で、後者に近い設計といえます。

チーム型の利点は、良いモデルが出るたびに部品を差し替えられること。単体モデル型は、性能を上げるには学習からやり直す必要があります。この差は今後じわじわ効いてくるはずです。

日本の企業と開発者にどう関係するか

「使っているだけ」の会社にも直撃する

「うちはオープンソースなんて開発していない」と思った方こそ、関係があります。

今回Atlasが調べたgrpcやKubernetes、Linuxカーネルは、日本企業が使う業務システムやクラウドサービスの土台に、ほぼ確実に入っています。自社で書いていなくても、自社のサービスの一部として動いているのです。

ある地方の製造業で、社内の生産管理システムをクラウドに載せ替えたとします。その基盤にKubernetesが使われていれば、今回のような発見は自社の更新作業に直結します。

問題は「直すまでの時間」

ここで効いてくるのが、日本企業の修正スピードです。

調査によっては、深刻度の高いアプリケーションやAPIの脆弱性を直しきるまでに平均で50日以上かかるという結果も報告されています。

一方、攻撃側もAIを使っています。CVE（脆弱性の公式な識別番号）が公開されてから数時間でPoCが作られる例も出ており、「パッチを当てるより攻撃のほうが先に届く」状況が現実味を帯びてきました。

日本では能動的サイバー防御の議論が進み、政府側もAIによる脆弱性診断の自動化に舵を切りつつあります。発見が速くなるほど、企業側の「反映の速さ」が問われる構図です。

今から手を打てること

難しい話ばかりではありません。中小企業でも効く対策はあります。

まずは自社が使っているソフトの一覧（SBOM＝ソフトウェア部品表）を作ること。何を使っているか分からなければ、直すべきかどうかも判断できません。

次に、更新の判断を担当者の勘に任せず、重大度に応じた期限のルールを決めておくこと。この2つだけでも、反応速度はかなり変わります。

手放しでは喜べない「見つけすぎ問題」

直す人が足りていない

AIが脆弱性をどんどん見つける。良いことばかりに聞こえますが、業界の受け止めは複雑です。

調査会社IDCのケイティ・ノートン氏は、こう指摘しています。

「発見のスピードが、業界が修正を調整する能力を追い越している」

オープンソースの多くは、少人数のボランティアが支えています。そこへAIが数百件の報告を送り込めば、対応しきれないのは当然です。

「AIスロップ」という新しい公害

さらに厄介なのが、質の低い報告の氾濫です。

AIが生成したそれらしいだけの報告は「AIスロップ」と呼ばれ、実際に問題になりました。バグ報奨金の大手HackerOneが、低品質報告の激増を理由に新規の受け付けを止める事態も起きています。

この状況を受け、2026年3月17日にはAWS・Anthropic・Google・Microsoft・OpenAIの5社が、Linux Foundationを通じて1250万ドルをオープンソース支援に拠出すると発表しました（AWS単独で250万ドル）。資金はAlpha-OmegaとOpenSSFに配分されます。

Atlasが「実際に動かして証明する」段階を持っているのは、この文脈でも意味があります。証明済みの報告だけを送れば、メンテナーの負担は減るからです。