直しても、次のAIがもっと見つける。セキュリティの運用は、AIネイティブに作り直す

01ソフトバンクは1万500件を直し終えたあと、新しいAIで3万5,000件を見つけた

ソフトバンクは今年7月、脆弱性（ソフトウェアの、攻撃の入口になりうる弱い所）の診断から、修正パッチ（弱い所を直すためのプログラム）の適用までを支援する「Patching as a Service」を本格的に提供しはじめた。10月30日の時点で、契約した会社は7,670社に達した。

同社は本格提供に先立ち、この仕組みを自社にも当てはめた。6月に自社で開発した約700のシステムを診断したところ、1万500件もの脆弱性が見つかり、約3カ月かけて、そのすべてに修正パッチを当てた。

ところが、9月に登場したOpenAIの「GPT-6 Astra」で診断し直すと、今度は新たに3万5,000件もの脆弱性が見つかった。

11月9日の決算説明会で、宮川潤一社長は「正直言って疲れ切っている状態」と語った。

疲れの理由は、脆弱性の数だけではない。説明会では、10月に公表された子会社IDCフロンティアへのランサムウェアの攻撃について、攻撃にかかった時間は7分だったと説明された。ソフトバンクのシステムへの偵察（攻撃の前の下調べ）は、昨年の月平均約3億件から、直近では約2倍に増えたという。宮川社長は、来週登場するモデルを使えば、さらに新たな脆弱性が見つかる可能性があるとの見方も示した。

しかし、もし今、Claude Mythos（Anthropicの、脆弱性を見つける力が特に強いAIモデル）で診断し直したら、いったい何が見つかるのだろうか。

02一度すべて直しても、AIが進化するたびに、新しい脆弱性が見つかる

問題は、一度すべて直しても終わらないことだ。AIが進化するたびに、それまで見つけられなかった脆弱性が、次々と見つかる。

診断する範囲も、広げ続けなければならない。ソフトバンクは診断の対象を、オープンソースのソフトウェアを含む1,800を超えるシステムに広げた。侵入の経路になったオープンソースのソフトウェアが、当初は診断の対象から外れていたことも、課題になったという。

03人が頑張るだけでは追いつかない。監視・診断・修正・検証をAIが回し続ける仕組みに変える

もはや、人間が頑張って対処し続けるだけでは追いつかない。AI自身が監視し、診断し、修正し、検証し続ける仕組みに変えなければならない。

AIを使ってセキュリティ対策をするのではなく、セキュリティの運用そのものをAIネイティブに変える。既存のシステムを改善し続けるだけでは、もう追いつかないのだ。

いちばん先を走るソフトバンクでも、まだ輪はつながっていない。診断と修正パッチの適用は自動化が進んだが、パッチを当てたあとにシステムが正しく動くかの確かめは人の手に頼っていて、自動化の時期は決まっていないという。

早くも、そういう段階に来ている。

04いま急ぐのは、仕組みを作り直せる若いAIネイティブ人材を、トップダウンで育てること

だからこそ、今、何よりも急がなければならないのが、若いAIネイティブ人材の育成だと思う。

今の仕組みを保つためにAIを学ぶのではなく、AIを前提に、仕組みそのものを根本から作り直せる人材を育てる。これを、トップダウンでやる。

次の時代を、今の時代の延長線上で考えていては間に合わない。