侵入まで73秒、パッチまで24時間：自律的検証のケース

Picus Securityのセキュリティ・リサーチ・エンジニア、Sila Ozeren Haciogluによる。

2026年4月、Anthropic社は最新のフロンティアモデル、コードネーム「Mythos」を12社のパートナーに限定公開した。一般公開ではなく、公開するには（正しく）危険すぎると判断されたため、同社はこのモデルを明確に制限した。

サンドボックス内での最初の14日間で、181のFirefoxエクスプロイトが動作した。以前の最先端モデルは2つだった。あーあ。

これは、あらゆる主要な OS とブラウザにまたがる何千ものゼロデイを表面化し、OpenBSD の 27 年前のバグを含む。

Mythos が発見したものの 99% 以上は、今日でもまだ本番環境ではパッチが適用されていない。

これは予測ではない。実際に起こったことなのだ。

では、すでに野放しになっているものと組み合わせてみよう。

少し話を戻そう。2月、AWS Threat Intelligenceは、一人のオペレーターによって実行されたFortiGateキャンペーンの事後報告を発表した。一人で、スキルが低く、キーボードに手を触れていない。

AIが作業を行い、106カ国の2,516台のデバイスを並行して攻撃し、ターゲット1台あたりわずか数分しかかかりませんでした。ゼロデイは必要なかった。既知のCVEと誤設定だけで十分であり、AIは単に、誰も対応できないほど速く動作するだけだった。

2つのデータ、1つのメッセージ：攻撃はマシンスピードで実行されるようになりました。そして、すべての防御者が問うべきことは、”我々はコンプライアンスに準拠しているか？”や “我々はカバーされているか？”ではない。より詳細で、より緊急なものだ：

“今日、実際に何が、どこまで私のコントロールを通過しているのか？” ということだ。

もし正直な答えが、四半期ごとのペンテストレポートとダッシュボードのスクリーンショットを含むのであれば、この記事の残りの部分は必読だと考えてほしい。

2026年、攻撃者は公開されたCVEをどれくらいの速さでエクスプロイトできるか？

10年前、CVEが公開されてから実際に悪用されるまでの時間の中央値は数カ月単位で、実際のパッチサイクルには十分な長さだった。2024年には、その期間は約56日に短縮された。2025年までには、23日にまで短縮された。

CISA KEV、VulnCheck KEV、およびエクスプロイト・データベースからの最近のCVEとエクスプロイトのペアは、現在、中央値でおよそ10時間のデルタを示しています。

公開された修正プログラムを実行可能なエクスプロイトに変換することは、もはや専門的な技術ではなく、即座にできるようになった。

これは、脆弱性管理の快適な前提、CVSSスコアが意味のある優先順位をつけること、「悪用可能性」が有用なフィルターであること、情報公開から兵器化までの時間があること、がすべて静かに崩れたことを意味する。

より安全な作業前提は、次の変更管理会議を終える前に、すべての脆弱性が悪用されている、あるいは悪用される、というものだ。

残念ながら、防御のための自己免疫はまだ存在しない。

また、検証を伴わないブルーサイドAIは、マシンスピードでの推測に過ぎず、本番環境に導入するには高価な直感だ。

真のボトルネックはツールではない – スパゲッティ・ハンドオフだ

まず攻撃側から見てみよう。

ゼロ秒目にAIスクリプトが起動する。5秒目にはCVEが悪用される。20番目にはMFAが回避される。30秒目にウェブシェルが削除される。45秒目にクレデンシャルがダンプされる。73秒目には侵害が完了する。

ループの中に人間はおらず、迷いもなく、チームミーティングもコーヒーブレイクもない。

今度は防御側を思い浮かべてほしい。

SIEMのアラートは1分後に発せられる。ティア1のアナリストが5分頃にそれを拾う。誰かが15分後にSOARのプレイブックを手動で起動する。1時間後にJiraチケットが提出される。4時間後、それはITオペレーションのキューに入る。

パッチは翌日、73秒で完了した侵害から24時間後にリリースされる。

時間の流れに注目してほしい。どのツールの中にもない。EDRは速い。SIEMは速い。脆弱性スキャナーは速い。Slackのメッセージ、コピーペーストされたハッシュ、レビュー用にメールで送られたPDFレポート、承認待ちのチケット、ブルーチームのために手作業で再構築されるレッドチームのスクリプトなどだ。

これがスパゲッティ・ハンドオフであり、その音と同じくらい厄介だ。

より高速なスキャナーを購入したり、よりスマートなEDRを導入したり、SIEMにLLMを追加したりしても、レスポンスが著しく速くなることはない。なぜなら、ギャップはどのツールの中にも存在しないからだ。グラフの1つのノードを高速化しても、グラフを高速化することはできない。

これが、この話題がCISOのオフィスから離れた理由の大きな部分である。

半年前までは、AIによるサイバーリスクは技術的な問題であり、任せるべきものだった。今日、取締役会はこれを重要な問題として扱い、直接管理するようになっている。予算は確保されているが、「同じことの繰り返し」のためではない。信頼できる、根拠に基づいた計画に資金を提供しているのだ。

AI攻撃時代のサイバー耐性の3つの柱とは？

Mythos以前に組織をレジリエンス（回復力）に富んだものにしていた基本は、今でも当てはまる。3つの柱がある：

柱1：特定する。見えないものを守ることはできない。ネットワーク、エンドポイント、クラウド、アイデンティティを包括的に可視化し、攻撃対象領域を積極的に管理しても、死角（リモートアクセスの孤立、セグメンテーションの欠落、MFAのギャップ）にはマシンスピードの攻撃者が潜んでいる。

柱2：保護。効果的なネットワークとエンドポイントの制御、適切な調整。一般的なベンダー・ルールではなく、クレデンシャル・アクセス、ラテラル・ムーブメント、特権昇格に焦点を当てた、カスタマイズされた検知。

第3の柱：検証。これは、ほとんどのプログラムが過小評価しているものであり、私たちが始めた質問に実際に答えるものである。バリデーションには2つの側面があり、両方が必要です。

• 防御的検証 –侵入と攻撃のシミュレーション（BAS）。私の防御と検知のコントロールは、今私を襲っているものを実際に捉えているだろうか？どの資産を保護できていないのか？スタック実行後の残存リスクは？

• 攻撃的検証–自律的検証（Autonomous Pentesting）。攻撃者は実際に侵入できるのか？どのエクスポージャが連鎖して、わが社の至宝に到達できるのか？理論上の脆弱性だけでなく、我々の環境で本当に悪用可能なものは何か？

BASだけを実行すれば、コントロールが単独で機能することはわかるが、攻撃者がそれを回避できるかどうかはわからない。自律的ペンテストだけを実行すると、攻撃経路は見つかるが、ペンテストが触れなかった資産でどのコントロールが静かに失敗しているかはわからない。これらを1つの継続的なループとして実行し、それぞれが他のループに情報を提供することで、最終的に「何が、どこまで通過するか」に対して、仮説的な意見ではなく、証拠に基づいた答えを得ることができる。

しかし、証拠だけでは十分ではない。オフェンスがマシンのスピードで実行されるとき、ループ自体もマシンのスピードで実行されなければならない。

ポスト・ミトスの世界におけるピクスの自律的検証への取り組み方

連続的なループは正しい答えだ。しかし、”連続的 “ということは、やはり人間がループのペース配分をすることを意味する。ポスト・ミトスの世界では、重要なのは見ることと検知することのギャップではなく、検知することと証明することのギャップである。

SOCが必要な睡眠をとっている間に、エージェントはアラートを読み、テストの範囲を決め、シミュレーションを実行し、修正をプッシュし、レポートを書くのです。

5月12日と14日に開催されるAutonomous Validation Summitでは、Frost & Sullivan社との共催で、PicusCTOのVolkan Erturk氏のほか、Kraft Heinz社やGlow Financial Services社の実務者が参加し、このサミットがどのようなものなのか（アーキテクチャ、エージェントによるワークフロー、実際の企業内で実行する場合の運用実態）を詳しく説明する予定です。

>> サミットで実際にご覧ください。

主催・執筆：Picus Security