2026年11月5日、OpenAIは脆弱性発見に特化したAIモデル「GPT-6 Cyber」を発表しました。この専門モデルは、わずか12時間という短時間でLinuxカーネルのソースコードから2,308件もの脆弱性候補を洗い出し、さらに30時間をかけてそのうち1,724件を実際に再現することに成功しました。最終的には948件が独立した脆弱性として確認され、権限昇格につながる実働するエクスプロイトコードまで自動生成されています。
この成果はセキュリティ研究の世界に大きな衝撃を与えましたが、同時に、AIによる脆弱性発見の急増がオープンソースソフトウェア(OSS)を支えるボランティアのメンテナー体制を圧迫しているという、もう一つの現実も浮き彫りになっています。Linuxカーネルでは、1リリースあたりのCVE(共通脆弱性識別子)件数が、数年前の約500件から現在では約2,000件へと4倍近くに膨れ上がっており、開発コミュニティの対応能力が追いついていない状況が指摘されています。
本稿では、GPT-6 Cyberの実験内容を具体的な数字とともに振り返りながら、AIによる脆弱性発見がもたらす「CVEインフレ」の実態と、企業や私たちの働き方にどのような影響を及ぼすのかを、独自の視点で考察してまいります。
GPT-6 Cyberの実験――12時間で2,308件、コストは121万ドル
OpenAIによる今回の実験は、2026年10月中旬から実施されました。対象となったのはLinuxカーネルのソースコードのうち約2.8百万行で、これはカーネル全体(4,000万行超)のおよそ7%に相当する範囲です。5,034件のターゲットに対してGPT-6 Cyberを走らせたところ、わずか12時間で2,308件の脆弱性候補が検出されました。
その後、追加で30時間をかけて1,724件の候補を実際に再現することに成功し、内訳としては情報漏えいにつながる候補が313件、権限昇格につながる候補が1,238件となりました。最終的に、重複する亜種を整理したうえで948件が独立した脆弱性として確定し、それぞれについてAIが修正案(パッチ)まで生成しています。
OpenAIはこのうち304件の重大な発見をLinuxカーネルの開発者コミュニティに報告しました。報告から10日後の時点で、61件がすでに本流(メインブランチ)で修正され、43件が修正準備中、残る299件はコミュニティ内で公開討議されている状況だと伝えられています。
なお、この実験全体にかかったコストはAPI利用料として121万3,430ドルに達しており、実際に動作する権限昇格エクスプロイト1件あたりに換算すると、約1,279ドルという計算になります。
「CVEインフレ」の実態――500件から2,000件へ急増した報告件数
GPT-6 Cyberのような専門AIモデルの登場によって、Linuxカーネルを取り巻く脆弱性報告の様相は大きく変わりつつあります。数年前までは1リリースあたり約500件程度で推移していたCVE件数が、現在では約2,000件に達しており、次期リリースではさらに件数が増える可能性も指摘されています。カーネルのソースツリーには4,000万行を超えるコードが存在するため、まだ発見されていない脆弱性が多数眠っていると見られます。
報告のペースも劇的に変化しています。2年前には週あたり2~3件程度だった報告件数が、2026年には1日あたり5~10件まで増加しているとのことです。この急増を受けて、Linuxカーネルの生みの親であるリーナス・トーバルズ氏は、今年のリリースノートの中で、カーネルの非公開セキュリティメーリングリストが「ほぼ完全に管理不能」な状態に陥っていると警鐘を鳴らしています。
もっとも、この変化には良い側面もあります。AIによる大量の指摘をきっかけに、メンテナーたちは数十件のCVEを抱えていた古いドライバ群や、長らく使われていなかったISDNサブシステム全体を一掃することができました。つまり、AIがもたらしたのは単なる負荷増大だけではなく、長年手付かずだった「負債」の整理を促す契機にもなっているのです。
独自考察――AIが変える脆弱性対応の構造とその先にあるもの
「発見者優位」への逆転と、変わらない「修正者」のボトルネック
これまでセキュリティの世界では、脆弱性を見つけること自体が専門家の希少なスキルであり、攻撃者側にとっても発見コストの高さが一定の歯止めとして機能してきました。しかし、GPT-6 Cyberの事例が示すように、AIによって脆弱性の発見コストはほぼゼロに近づきつつあります。これは裏を返せば、防御側だけでなく攻撃側にとっても同様の恩恵が生じうるということを意味しています。
重要なのは、発見のボトルネックが解消されても、修正や検証を担う人間の体制はすぐには拡張できないという点です。304件の重大な報告のうち10日間で修正が完了したのは61件にとどまっており、残りの大半は準備中または討議中の状態にあります。発見と修正のスピードの差が開き続ければ、「既知だが未修正の脆弱性」が積み上がっていくリスクも否定できません。
1脆弱性1,279ドルという価格は「安い」のか
今回の実験でかかったコストを権限昇格エクスプロイト1件あたりに換算すると、約1,279ドルとなります。熟練したセキュリティ研究者が1件の脆弱性を発見・実証するためにかけてきた工数や人件費と比較すれば、この金額は決して高くないと捉えることもできます。
一方で、この手法を自社の製品やシステムに対して定期的に適用しようとすれば、スキャン対象の規模に応じてコストは積み上がっていきます。自社開発のソフトウェアや利用しているOSSの重要度に応じて、どこまでAIによる脆弱性診断に投資すべきかを見極める判断軸が、今後企業に求められるようになっていくと考えられます。
ボランティア依存のOSS体制が抱える構造的な限界
Linuxカーネルに代表されるOSSの多くは、企業からの資金提供を受けた開発者と、善意のボランティアによって支えられています。今回のようにAIが人間の何十倍ものペースで脆弱性を報告するようになると、トリアージ(優先順位付け)や検証作業を担う人員の不足が一層深刻化することが懸念されます。
メンテナーの燃え尽きが進めば、かえって重要な脆弱性が埋もれてしまうという本末転倒な事態も起こりかねません。AIによる脆弱性発見の恩恵を真に活かすためには、発見だけでなく、トリアージや修正の工程そのものをどう効率化していくかという議論が、コミュニティ全体で避けて通れないテーマになっていくと見られます。
日本企業にとっての示唆――自社が依存するOSSの点検
多くの企業システムは、意識されないところでLinuxカーネルをはじめとするOSSに支えられています。今回のような脆弱性報告の急増は、自社が利用しているOSSのバージョン管理やパッチ適用体制が、こうした変化のスピードに追いついているかを見直す良い機会になると考えられます。
特に、長期間同じバージョンを使い続けている基幹システムやIoT機器などは、今後掘り起こされる未知の脆弱性の影響を受けやすい領域だと言えます。自社の調達・運用プロセスにおいて、ベンダーやOSSコミュニティの脆弱性対応状況を定期的に確認する仕組みを持つことの重要性が、改めて高まっているのではないでしょうか。
「見つけるAI」から「直すAI」への進化がもたらす可能性
今回のGPT-6 Cyberは、脆弱性の発見だけでなく、948件すべてについて修正案(パッチ)まで自動生成しています。これは、脆弱性対応のプロセス全体がAIによって担われる未来の入り口を示していると捉えることもできます。
もちろん、AIが生成した修正案をそのまま本流に取り込むことには慎重な検証が必要であり、現時点でも人間のレビューが前提とされています。しかし、発見から修正案の提示までを一気通貫で担うAIの登場は、将来的にセキュリティ対応の速度そのものを引き上げる可能性を秘めています。今後数年で、この「見つけて、直す」までの自動化がどこまで実用化されるかが、OSSエコシステム全体の持続可能性を左右する重要な分岐点になっていくと考えられます。
まとめ
OpenAIのGPT-6 Cyberによる今回の実験は、AIが脆弱性発見の世界に与えるインパクトの大きさを具体的な数字とともに示しました。12時間で2,308件という発見スピードは驚異的である一方、それを受け止めるLinuxカーネルのメンテナー体制は、CVE件数の急増という形で明確な負荷を抱えています。
AIによる脆弱性発見は、攻撃と防御の両面に恩恵をもたらしうる諸刃の剣です。企業にとっては、自社が依存するOSSやソフトウェアの脆弱性対応体制を今一度点検し、発見スピードの向上に見合った修正・検証体制を整えていくことが、これからのセキュリティ戦略における重要な課題になっていくと考えられます。
コメント