9月16日、Sergio De Simoneが「AI-Assisted Discovery Helps Microsoft Patch More Than 1,000 Vulnerabilities in a Month」と題した記事を公開した。「数字はもはや意味を失った」——あるセキュリティ研究者のこの言葉が、AIによる脆弱性発見の急加速がもたらす新たな現実を端的に表している。AIを活用したセキュリティリサーチによってMicrosoftが月1,000件超の脆弱性パッチを実現した一方、組織側の対応が追いつかないリスクが業界内で深刻な議論を呼んでいる。
月1,000件超、年間2,750件という前例のない規模
Microsoftは2026年9月のパッチチューズデーで1,000件以上の脆弱性を修正した。これにより2026年の年間累計は約2,750件に達し、従来の年間最多記録である2020年の約1,250件の2倍以上となった。
セキュリティ専門家のBrian Krebsは自身のブログで、Microsoftに限らず主要ソフトウェア企業が軒並み「大規模なパッチバンドルを出荷している」と指摘し、多くの企業がその背景にAIツールの活用を挙げていると述べた。
今回のパッチには特に注意が必要な脆弱性が含まれている。Krebsは2件のゼロデイ脆弱性が既に悪用中であると警告した。
今月修正された2件のゼロデイ脆弱性（CVE-2026-81963 および CVE-2026-85880）は、いずれも攻撃者がWindowsシステム上で権限を昇格させることを可能にする。
CVE-2026-85880はVolexityとProofpointの研究者が、CVE-2026-81963はAirbus HelicoptersとMicrosoftのThreat Intelligence Centerが独立して報告した。また、修正された脆弱性のうち113件はMicrosoftが「Critical」（重大）に分類したもので、ユーザーの操作をほとんど必要とせずに悪用できる。BleepingComputerによる詳細な分類では、リモートコード実行が258件、権限昇格が438件などとなっている。
AIはどのように脆弱性発見を加速させているか
今回の急増の背景には、MicrosoftをはじめとするAI企業が防御目的でLLMベースのツールを積極的に活用していることがある。元記事によれば、MicrosoftはSecurity Copilotなどの自社AIを用いてコードの静的解析・ファジング・脅威モデリングを自動化し、従来は人手で数週間かかっていた解析工程を大幅に短縮しているとされる。同様の取り組みはGoogleのProject ZeroやOpenAIの内部セキュリティチームでも報告されており、業界全体でAI支援による脆弱性ハンティングが標準的な手法になりつつある。
Ars TechnicaのDan Goodinは、OpenAI・Anthropic・AWS・Google・Microsoftらが連名で「AIを悪用したサイバー攻撃が近い将来、より広範かつ高度になる」と警告する公開書簡を出したことを受けて、業界全体がパッチの大量出荷へと向かっていると報じた。攻撃者側もAIを活用して悪用コードの生成や脆弱性探索を高速化している以上、防御側も同等以上のペースで対応せざるを得ないという構図だ。
AIが「発見」を加速させた先にある問題
AIが脆弱性の発見を加速させているのは事実だが、セキュリティコミュニティからは「発見した後」の工程に関する懸念が相次いだ。
Action1の脆弱性リサーチ担当ディレクターであるJack Bicerは次のように述べた：
この規模になると、課題はパッチリストをこなすことではない。何を最初に対処すべきかを把握することだ。数百件のアップデートが同時に届く中、ITおよびセキュリティチームは即時対応が必要な脆弱性と、通常のデプロイサイクルに乗せられるものを素早く仕分けしなければならない。
Qualaix創業者兼CEOのMarva BailerもLinkedInで指摘した：
問題を発見するのは一つのステップに過ぎない。組織はさらに、自社の露出状況を把握し、パッチをテストし、他への影響を確認した上で、数千台のデバイスや相互接続されたシステム全体にデプロイしなければならない。そこで初めて「ソフトウェアパッチ」はビジネスの問題になる。
BailerはさらにAIが防御側の脆弱性発見を早める一方で、発見からテスト・デプロイまでの時間的プレッシャーをも増大させると警告した。CVSSスコアによる優先順位付けや、VEX（Vulnerability Exploitability eXchange）のような文書標準を活用したリスクの仕分けが、現場では急務となっている。
「数字はもはや意味を失った」という声も
FortraでセキュリティR&Dのアソシエイトディレクターを務めるTyler Regulyは、「Microsoftが脆弱性のパッチ適用で追いかけ続けている限り、数字はすべての意味を失った」と述べた。その上で、現状の「ニューノーマル」をしっかり認識し、これほど大量のパッチをデプロイ前に精査・テストするための人員とプロセスをどう整えるかを考えることが重要だと強調した。
AIによる脆弱性発見の加速は、ソフトウェアの品質向上という観点では歓迎すべき動きだ。しかし、パッチを受け取る側の組織には、それに見合った評価・優先順位付け・展開の体制が求められている。CISA既知悪用脆弱性カタログ（KEV）のような公的リソースを活用して対応優先度を絞り込む取り組みも、現場での実践的な選択肢として注目されている。
詳細はAI-Assisted Discovery Helps Microsoft Patch More Than 1,000 Vulnerabilities in a Monthを参照していただきたい。
