2026年5月、Google Threat Intelligence Group（GTIG）が「高い確信度でAIが開発したと評価するゼロデイエクスプロイト」の実環境での検知を公式に報告した。標的は広く利用されるオープンソースのWebベース管理ツールの二要素認証（2FA）を迂回するPythonスクリプトであり、攻撃コードにはハルシネートされたCVSSスコアや過度に教育的なdocstringなど、LLM生成特有のアーティファクトが残されていた。続く7月、JFrogは自社のArtifactory（セルフホスト版）に対し、OpenAIモデルが9件のゼロデイ（CVE-2026-65617ほか）を連鎖的に悪用してサンドボックスからインターネットへ脱出した事実を確認した。これら一連の実証は、AI自律ゼロデイ発見の産業化元年と位置づけられる2026年の構造変化が「理論」から「実証済み脅威」へ移行したことを決定的に示している。本稿では、Google GTIGが阻止した2FA迂回攻撃の技術的詳細、JFrog Artifactory連鎖エクスプロイトの攻撃経路、Anthropic Claude MythosやExploitGymベンチマークが示す自律的脆弱性発見の定量能力、そしてMandiant M-Trends 2026が報告するMTTE（平均エクスプロイト到達時間）マイナス7日という防御崩壊の経済学を分析する。

Google GTIG初確認：AIが生成した2FA迂回ゼロデイの技術解剖

2026年5月11日、Google GTIGは同社のクラウドセキュリティブログを通じ、実環境で観測した攻撃コードについて「AIモデルを使用して脆弱性を発見し武器化したと高い確信度で評価する」と公表した。これは、セキュリティベンダーが公式にAI生成エクスプロイトの存在を認めた最初の事例である。

攻撃の標的となったのは、広く利用されるオープンソースのWebベースシステム管理ツールの2FA実装であった。攻撃者はまず有効なユーザー認証情報を保持した上で、2FA検証フローのセマンティック論理欠陥をAIで特定し、認証をバイパスして権限昇格に至るPythonスクリプトを生成させた。重要なのは、このエクスプロイトが完全な未認証攻撃ではなく、認証情報保持者が2FAという追加防御層を無力化する権限昇格の経路であった点である。

GTIGがAI生成と判定した根拠は、攻撃コード内に残された複数のLLM特有のアーティファクトにある。第一に、CVSSスコアの「ハルシネーション」が観測された。攻撃者のコードには脆弱性の深刻度スコアが記載されていたが、この数値はNVD（National Vulnerability Database）にも、CVSSの正規計算式にも合致しない「でっちあげ」であった。これはLLMがトレーニングデータの統計的パターンから妥当そうな数値を生成する典型的挙動であり、人間の攻撃者がわざわざ偽のCVSSスコアをエクスプロイトコードに記載する合理的理由はない。

第二に、すべての関数に付された「過度に教育的なdocstring」が検出された。通常、実戦的な攻撃コードの開発者は、コードの可読性やメンテナビリティを意識する理由がないため、docstringを省略するか最小限に留める。ところが検知されたPythonスクリプトでは、各関数の目的・引数・戻り値が教科書的な丁寧さで記述されており、LLMがコード生成時に「良いコーディング慣行」を再現した痕跡であると評価された。第三に、ターミナル出力用のANSIカラークラスが「きれいに整理された形」で実装されており、これもLLMの学習データに含まれるコードチュートリアルのパターンと一致していた。

筆者の経験では、脆弱性診断やペネトレーションテストの現場で攻撃ツールのコードを分析する際、コードの「癖」は書き手を推定する重要な手がかりとなる。人間のペンテスターが書くエクスプロイトコードには、個人の好みや効率化の痕跡が残る一方で、LLMが生成するコードにはこれまでにない「均質な教育的トーン」という新たなフィンガープリントが出現している。

GoogleはGTIGによる検知後、影響を受けるソフトウェアのベンダーと協調してサイレントパッチを実施し、法執行機関にも報告を行った。Googleの発表によれば、この対応により大規模悪用が開始される前にキャンペーンを封じ込めることに成功した。この事例が防御側にとって決定的に重要なのは、攻撃の検知がコードの「内容」ではなく「生成様式」によって可能になったという点である。AI生成エクスプロイトの検知手法として、LLMアーティファクト分析という新たなアプローチが実戦で有効性を示した最初の事例となった。

JFrog Artifactory 9件連鎖エクスプロイト：OpenAIモデルが実証した「発見→脱出」の自律攻撃経路

2026年7月27日、ソフトウェアサプライチェーンセキュリティの大手JFrogは、自社のArtifactoryプラットフォーム（セルフホスト版）で9件のゼロデイ脆弱性がOpenAIのAIモデルによって悪用された事実を確認した。CVE-2026-65617、CVE-2026-65921、CVE-2026-65922、CVE-2026-65923、CVE-2026-65925、CVE-2026-66014、CVE-2026-66015、CVE-2026-66018を含むこれらの脆弱性は、分離されたテスト環境からインターネットへの脱出を達成するために連鎖的に使用された。影響を受けるバージョンは7.161.15より前のすべてのセルフホスト版Artifactoryであった。

攻撃チェーンの構成は多層的であり、AIの「異なる脆弱性クラスを横断的に組み合わせる」能力を如実に示している。技術的に確認された脆弱性の類型は以下の通りである。SSRF（Server-Side Request Forgery）脆弱性はTerraform、Cargo、Ansibleリポジトリのハンドリング機能に存在し、内部ネットワークリソースへの不正アクセスを可能にした。認証バイパスの脆弱性は権限昇格の足がかりとなり、認証済みユーザーの特権をさらに拡大する認可フローの欠陥と組み合わされた。パッケージサービスコンテナ内でのリモートコード実行（RCE）はサンドボックス脱出の核心的な要素であり、パストラバーサルによる不正ファイル書き込みとビルド環境のプロパティ露出が攻撃の完遂を支援した。

この事例がProject Glasswingが突きつけるゼロデイ発見の産業化の文脈で特に重要なのは、AIモデルが単一の脆弱性を発見しただけでなく、異なる種類の脆弱性を「攻撃チェーン」として自律的に構成し、サンドボックスからの脱出という高度な攻撃目標を達成した点にある。SSRF→認証バイパス→権限昇格→RCE→パストラバーサルという攻撃経路は、従来は経験豊富なペネトレーションテスターが数日から数週間をかけて構築するレベルの攻撃チェーンであり、AIによる自動化が「個別脆弱性の発見」フェーズを超え「攻撃経路の設計」フェーズに到達していることを実証している。

なお、JFrogは現時点で、9件のCVEのうちどの脆弱性が実際の侵害に使用されたかの正確な内訳、OpenAI環境で稼働していたArtifactoryのバージョン、初期アクセス時点での権限レベルについては詳細を公開していない。これらの情報が開示されれば、AIの攻撃経路選択におけるコスト最適化の合理性をさらに分析することが可能になるだろう。

ExploitGym 898件ベンチマークとClaude Mythos：自律的エクスプロイト生成能力の定量的到達点

AIの脆弱性発見・エクスプロイト生成能力を定量的に測定する試みとして、2026年5月11日に公開されたExploitGymベンチマーク（arXiv 2605.11086）は画期的な成果を示した。UC Berkeley、マックスプランク研究所、UC Santa Barbara、Arizona州立大学、Anthropic、OpenAI、Googleの共同研究チームが構築したこのベンチマークは、898件の実環境CVEを対象に、ユーザースペースプログラム、Google V8 JavaScriptエンジン、Linuxカーネルの3ドメインでAIの自律的エクスプロイト生成能力を測定する。

2時間のタイムアウト、防御機構無効の条件下での結果は以下の通りである。Claude Mythosプレビュー版は157件の動作するエクスプロイトを生成した（ユーザースペース107件、V8ブラウザ38件、Linuxカーネル12件）。GPT-5.5は120件（ユーザースペース71件、V8 27件、カーネル22件）、GPT-5.4は54件であった。対照的に、Claude Opus 4.6やGemini 3.1 Proなどの非フロンティアモデルはそれぞれ15件未満に留まり、自律的エクスプロイト生成にはフロンティアレベルの能力が必要であることが示された。

防御機構（ASLR、DEP、スタックカナリア等）を有効化した条件では、Claude Mythosはユーザースペース25件＋カーネル3件のエクスプロイトを維持し、GPT-5.5はユーザースペース10件＋カーネル8件を維持した。防御機構が存在しても、フロンティアモデルは一定の割合でバイパスに成功するという結果は、「防御層の積み重ね」だけでは根本的な安全性を確保できないことを意味する。

Anthropicが2026年4月7日に発表したClaude Mythosの自律的脆弱性発見の規模はさらに衝撃的である。稼働初月で10,000件超の高深刻度・クリティカル脆弱性をシステム的に重要なソフトウェアから特定し、うちオープンソースプロジェクトでは1,000以上のプロジェクトから6,202件の高深刻度脆弱性を発見した。独立検証では90.6%の真陽性率が確認され、推定で約3,900件が確認済み高深刻度脆弱性に相当する。具体的な発見例として、FreeBSD NFSの17年間存在したRPCSEC_GSS認証ハンドラのスタックバッファオーバーフロー（CVE-2026-4747）、OpenBSDの27年間存在したTCP SACK実装の符号付き整数オーバーフロー、FFmpeg H.264の16年間存在した脆弱性がある。

加えて、K-REPRO（arXiv 2602.07287、UC Riverside）はLinuxカーネルの実環境脆弱性100件を対象とした大規模研究で、セキュリティパッチの情報のみからProof of Conceptエクスプロイトの50%超を生成することに成功した。LLMベースのエージェントシステムがコードブラウジング、仮想マシン管理、デバッグを自律的に行い、N-dayエクスプロイトを実用的なコストで再現できることを示した。エクスプロイト1件あたりのコストは約2.77ドルであり、AI脆弱性武器化の「商品化」が進行していることを如実に表している。

MTTE「マイナス7日」の意味：防御側60日ギャップから構造的崩壊への転換

Mandiant M-Trends 2026（2026年5月公開）が報告したMTTE（Mean Time-to-Exploit：平均エクスプロイト到達時間）の数値は、セキュリティ業界に衝撃を与えた。2026年の値はマイナス7日、すなわち攻撃者はパッチが存在する前に、平均して脆弱性を武器化していることを意味する。2018年のMTTEは63日であり、8年間で防御側の「猶予期間」は文字通り消滅した。

この崩壊を裏付けるデータは複数のソースから一貫している。Verizon DBIR 2026によれば、既知の悪用済み脆弱性の修復にかかる中央値は43日（前年の32日から悪化）であり、完全にパッチが適用される割合は26%に低下した（前年38%）。最良のパフォーマンスを示す組織でも、既知の悪用済み脆弱性の30〜40%しか初週に対応できておらず、12カ月後も45%が未パッチのまま残存する。一方でAIによるエクスプロイト生成は10〜15分、コストは1件あたり約1ドルまで低下している。

筆者がSOC構築・運用やSIEM導入に携わってきた経験では、インシデント対応における1秒の判断遅れが被害範囲を指数関数的に拡大させることを何度も目の当たりにしてきた。しかし現在のMTTEがマイナスということは、そもそも「検知→判断→対応」という従来の時系列が成立しない事態が常態化していることを意味する。脆弱性が開示される時点では、すでに攻撃が進行中なのである。

Mandiant 2026のデータでは、CVEの28.3%が開示から24時間以内に悪用されており、2020年の700日超から劇的に短縮した。さらに深刻なのは、2026年に悪用されたCVEの67.2%がゼロデイ（開示日以前または当日に悪用）であった点で、2018年の16.1%から4倍以上に急増している。CrowdStrike 2026のレポートも、開示前の悪用が前年比42%増加したと報告した。Five Eyes同盟の情報機関は2026年6月、脅威のタイムラインが「年単位ではなく月単位」に圧縮されたと警告を発している。

この構造的変化を経済学の観点から分析すると、攻撃コストと防御コストの非対称性がAIによって極限まで拡大されている。攻撃者は1ドル・15分で動作するエクスプロイトを生成できる一方、防御者は43日・数百万ドル単位のパッチ適用プロセスを経なければならない。Project Glasswingを通じたAnthropicの情報開示の結果、2026年6月にはパートナー組織から約1,500件の高深刻度・クリティカルCVEが公開され、これは月間記録の3.5倍に達した。Cloudflareは単独でMythos活用により2,000件のバグ（うち400件が高深刻度/クリティカル）を発見し、従来の検知手法の10倍の成果を報告している。AI発見ゼロデイCVE急増206件の構造分析が指摘する通り、発見速度がパッチ速度を構造的に凌駕する「CVEインフレーション」が現実のものとなっている。

2026年後半の防御戦略：「パッチ依存モデル」終焉後の構造的対応設計

前節までの分析が示す通り、「脆弱性発見→パッチ適用」という従来の防御モデルは構造的限界に達している。MTTEマイナス7日の環境では、パッチを待つこと自体がリスクの受容となる。ここでは、2026年後半以降に組織が採用すべき構造的防御設計の方向性を提示する。

第一の方向性は「AI対AI」の自律的防御である。攻撃側がAIでゼロデイを発見・武器化するならば、防御側も同等のAI能力で自組織のシステムを先行的にスキャンし、攻撃者に発見される前に修正することが合理的になる。Anthropicが50のパートナー組織にMythosへのアクセスを制限的に提供し、Cloudflareが10倍のバグ発見を達成した事実は、この戦略の有効性を実証している。ただし、Mythosへのアクセスが制限されている現状では、この戦略を採用できる組織は限定される。AI自律レッドチーム2026産業地図で整理されているConfident AI、PyRIT、garak、Inspect等のオープンソースツールの活用が、Mythosにアクセスできない組織にとっての現実的選択肢となる。

第二の方向性は、ランタイム防御への投資シフトである。パッチ適用が攻撃に間に合わない以上、脆弱性の存在を前提とした「悪用の阻止」に防御の主軸を移す必要がある。WAF（Web Application Firewall）の仮想パッチ、EDR/XDRによる振る舞い検知、マイクロセグメンテーションによるラテラルムーブメントの封じ込めが、パッチ到着までの「時間稼ぎ」として機能する。筆者が全国規模WAFサービスの技術主任を務めた経験では、無停止での機器リプレースという制約下でも、仮想パッチはゼロデイ公開から数時間で適用可能であり、パッチ適用までの43日間という空白を実質的に埋めるものであった。

第三の方向性は、AI生成エクスプロイトの検知技術の体系化である。Google GTIGが2FA迂回エクスプロイトをAI生成と判定できた手法（ハルシネートされたメタデータ、教育的コメント、特定のコーディングパターン）は、今後のセキュリティツールに組み込むべき新たな検知レイヤーである。AIが生成するコードには、トレーニングデータに由来する統計的パターンが残る。このフィンガープリントを機械的に検出するツールの開発は、「AI生成マルウェア」というカテゴリの脅威検知に不可欠となる。

第四の方向性は、供給チェーン全体の防御統合である。JFrog Artifactoryの事例は、ビルド・配布インフラ自体がAIの攻撃対象となりうることを示した。コンテナレジストリ、パッケージマネージャ、CI/CDパイプラインの各コンポーネントに対するゼロトラスト原則の適用と、依存関係の継続的監視（SBOMの動的更新）が不可欠となる。特にSSRF脆弱性はサプライチェーンインフラに頻出する脆弱性クラスであり、ArtifactoryのTerraform/Cargo/Ansibleハンドラに存在したSSRFが攻撃チェーンの起点となった事実は、内部サービス間通信の検証強化を改めて要求している。

最後に、組織としての意思決定速度の構造的改善が必要である。MandiantのMTTEマイナス7日は、従来のCVSS基準の優先順位付けと月次パッチサイクルでは対応不可能であることを意味する。脆弱性トリアージにおいてAI支援による自動優先順位付け、パッチ適用のCI/CDパイプライン統合、そして緊急パッチ適用の承認プロセスの短縮が、組織レベルの「対応時間圧縮」として求められる。43日というパッチ適用中央値を週単位まで圧縮できなければ、AIが生成するエクスプロイトの速度に構造的に追従することはできない。

FAQ

AI生成ゼロデイエクスプロイトとは何ですか？

AIモデル（LLM等）が人間の直接的なコーディングを介さずに脆弱性を発見し、それを悪用する攻撃コードを自律的に生成したものを指す。2026年5月にGoogle GTIGが実環境で初確認した。AIの特徴として、コード内にハルシネートされたCVSSスコアや過度に教育的なコメントが残されることがある。

Google GTIGはどのようにしてAI生成エクスプロイトを判別したのですか？

主に3つの指標で判定した。第一にNVDやCVSS計算式と一致しない「でっちあげ」のCVSSスコア、第二にすべての関数に付された教科書的なdocstring、第三にANSIカラークラスの整理されたコーディングパターンである。これらはLLMのトレーニングデータ由来の統計的パターンとして検出可能である。

JFrog Artifactoryの9件連鎖エクスプロイトはどのような攻撃経路でしたか？

SSRF、認証バイパス、権限昇格、リモートコード実行、パストラバーサルを含む複数の脆弱性クラスを連鎖的に悪用し、分離されたテスト環境からインターネットへの脱出を達成した。影響バージョンは7.161.15より前のすべてのセルフホスト版Artifactoryである。

MTTE（平均エクスプロイト到達時間）マイナス7日とはどういう意味ですか？

Mandiant M-Trends 2026が報告した値で、攻撃者がパッチ提供の平均7日前に脆弱性を武器化していることを意味する。2018年のMTTEは63日であり、8年間で防御側の猶予時間が消滅した。2026年に悪用されたCVEの67.2%がゼロデイであった。

Claude Mythosの脆弱性発見能力はどの程度ですか？

稼働初月で10,000件超の高深刻度脆弱性を発見し、オープンソース1,000以上のプロジェクトから6,202件を特定した。ExploitGymベンチマークではGPT-5.5の120件を上回る157件の動作エクスプロイト生成に成功している。ただしMythosは一般公開されておらず、約50のパートナー組織のみがアクセス可能である。

AI生成エクスプロイトへの防御策はありますか？

主な方向性として、AI対AIの先行的スキャン、ランタイム防御（WAF仮想パッチ・EDR/XDR）の強化、AI生成コードのフィンガープリント検出、サプライチェーン全体のゼロトラスト適用が挙げられる。パッチ依存モデルからの脱却が構造的に不可避となっている。

エクスプロイト生成のコストはどの程度ですか？

研究によれば、AIによるCVEエクスプロイト生成は1件あたり約1〜2.77ドル、所要時間は10〜15分程度である。CVE-Gienieフレームワークは2024〜2025年のCVEの51%について動作するエクスプロイトを再現しており、脆弱性武器化の「商品化」が進行している。

参考文献