AI時代のサイバー攻撃：「空が落ちてくるような感覚を味わうことになる」

何が起きたのか

10月21日に、PHPの2つのセキュリティの穴（PHP2Shell）が公表されました。スタートアップのCalif Research、OpenAI（GPT-5.6 Solを使用）、Google（Gemini 4 Argonを使用）など、複数のグループが見つけました。世界中の企業や政府は、自分たちのシステムを点検し、修正を入れています。GuardianとBusiness Insiderは、10月をサイバーセキュリティの「暗い10月」と呼びました。

数字で見る主な事実

• PHPの穴2つ（PHP2Shell）が10月21日に公表された
• 少なくとも3つの独立したグループが発見した
• CVEプログラムによると、今年新しく見つかったセキュリティの穴は約4,000件から15,000件以上に増えた（275%以上の増加）
• 更新作業中に、一部のウェブサイトやサービスが意図的に停止された

なぜ時間が短くなっているのか

ソフトウェアのバグとは、コードの中のミスのことで、そこからセキュリティの穴が生まれることがあります。以前は、バグが見つかってから攻撃者がそれを悪用する道具を作るまでに、数週間から数か月かかることもありました。その間に防御側は問題を直し、パッチ（穴をふさぐための更新プログラム）を配ることができました。今では、AIがコードを素早く調べ、数時間で穴を見つけられるようになり、防御側に残された時間が縮まっています。

なぜ大切なのか

テック業界のリーダーは、重要な穴をすべて直す時間が足りないかもしれないと警告しています。CloudflareのCEOであるMatthew Princeは、今後2年は非常に大変な時期になるかもしれないと述べました。一方で、危険は誇張されているという意見もあります。Curlというデータツールを開発するDaniel Stenbergは、AIが見つける穴は少なく、攻撃に使うのも難しいことが多いと話しています。それでも多くの人は、昔からある人間のコーディングミスが根本的な原因であり、AIがそれを表に出しているという点で一致しています。

今後注目すべき点

• 企業が、パッチを十分に速く入れられるかどうか
• AIが見つけた穴が、実際に成功する攻撃につながるかどうか
• 今後数か月で、公表されるセキュリティの穴の数がどう変わるか
• ソフトウェア会社が、昔の間違いを繰り返さないよう、より安全なコードを書くかどうか