海外 × セキュリティ/脆弱性（13件）

発見の主体はAIではなく研究者 Alfredo Pesoli 氏(@__rev)で、Apple の一次アドバイザリは同氏を『via Bynario Atlas (bynar.io)』としてクレジットしている。macOS の Screen Sharing に認証状態の管理不備があり、ネットワーク上の攻撃者が正当な資格情報なしにセッションを確立できた。Apple は状態管理の改善で修正し、macOS Tahoe 26.6.1 / Sequoia 15.7.9 / Sonoma 14.8.9 を 2026-08-06 に公開。CISA は 2026-08-18 に KEV(悪用が確認された脆弱性カタログ)へ追加し、期限を 2026-08-21 と設定した。

リモート操作機能は『社内ネットワークだから』と露出したまま運用されがちだが、認証そのものを回避されると境界防御が意味をなさない。KEV 収載と 3 日後という異例に短い対応期限は、実際の悪用が進行していることを示す。なお発見元の Bynario は AI 脆弱性検出を掲げる企業だが、AI が最初の欠陥候補を生成したことを示す記述は一次・二次いずれの資料にもなく、本件を AI による発見としては扱わない。

発見はAIではなく人間の研究チームによる。分散処理フレームワーク Ray のダッシュボード API(`/api/jobs` 等)は、ブラウザからの攻撃を防ぐために User-Agent ヘッダーが "Mozilla" で始まるかどうかだけを見て弾く仕組みだったが、Firefox と Safari の fetch API はこのヘッダーを書き換え可能なため、この防御は無効化できた。これに DNS リバインディング攻撃を組み合わせることで、悪意あるサイトや広告を閲覧しただけの Ray 利用者(開発者)の端末上で任意のシェルコマンドを実行できる(CVSS v4 9.4、Critical)。脆弱性の着想は Oligo Security の avilum、DNS リバインディング手法・PoC 完成・開示調整は Socket の JLLeitschuh によるもので、Ray 2.52.0 で修正済み。CVE-2025-62593 として採番され、2026-08-17 に CISA の KEV(Known Exploited Vulnerabilities)カタログに追加された。

認証を実装していないローカル開発ツールの管理画面は、ブラウザ経由(User-Agentチェックのみ等の弱い防御)+ DNSリバインディングの組み合わせで容易に外部から悪用可能になる。開発者向けツールでも「ローカルだから安全」という前提は通用しない典型例。

発見はAIではなく人間の研究チームによる。MLflow のモデルレジストリ webhook 機能には、SSRF 対策 (_validate_webhook_url) がホスト名の名前解決結果を検証するだけで、検証後の実際の接続先IPを固定しない欠陥があった。攻撃者は自分の管理する公開HTTPSサーバでガードを通過させたうえで302リダイレクトによりAWSメタデータ(169.254.169.254)等の内部アドレスへ誘導する、またはDNSリバインディング(検証時と接続時で異なるIPを応答させるTOCTOU)により同様の回避を行える。既定設定の MLflow Tracking Server は認証なしで動作し、webhook の /test エンドポイントが取得先レスポンス本文をそのまま呼び出し元へ返すため、無認証の攻撃者がクラウドの一時認証情報などを読み取れる(CVSS v3.1 9.3、CWE-918)。3.15.0で、接続確立直後のソケットのpeer IPを検証する SSRFProtectedHTTPAdapter を追加して修正された。2026-08-19 に CISA KEV(既知悪用脆弱性カタログ)へ収載され、対応期限は2026-09-02とされた。

脆弱性そのものはAI関連ではなく、MLflowという「AI/MLプラットフォーム」がKEV収載された事例として、AI基盤の運用資産(モデルレジストリ・webhook連携)が一般的なWebアプリと同じ古典的なSSRF/TOCTOU欠陥で侵害されうることを示す例。発見はハンター複数名(HackerOneハンドルを含む)による独立発見・報告で、AIによる自動発見ではない。

Linux kernel の SCTP outqueue で、gap-acked された chunk を別トランスポートの再送リストへ移す際に chunk->transport ポインタを更新し忘れるバグがあった。元のトランスポートが ASCONF Delete-IP で削除・RCU解放された後、SACK renege で tsn_gap_acked フラグが外れると解放済みメモリの transport にアクセスし、KASAN が sctp_check_transmitted() 内で slab-use-after-free を検出する。修正は chunk 移動時に chunk->transport を正しく更新するもの。脆弱性は XBOW(AIベースのセキュリティ発見ツール)が発見し、XBOW所属の人間 Baul Lee がtriage(検証・確認)した経緯が、Linux kernel CNA(NVDミラー)のアドバイザリ本文中コミットメッセージにそのまま記載されている。

AIによる脆弱性発見(XBOW)がLinuxカーネルの正式なCVEアドバイザリのコミットメッセージに「Discovered by XBOW, triaged by <人間>」という形で明記されており、AI発見→人間トリアージという分業が実運用のセキュリティ対応プロセスに組み込まれつつある実例。

発見はAIではなく人間の研究者Rich Mirch(Stratascale Cyber Research Unit)による。sudoの-R(--chroot)オプションはsudoers評価中にユーザー指定のルートディレクトリでパスを解決するよう変更されていたため、攻撃者がそのディレクトリ配下に細工した/etc/nsswitch.confを置くことで任意の共有ライブラリを読み込ませ、sudoersに列挙されていなくてもrootとして任意コマンドを実行できる。

公式アドバイザリにCVSS数値が一切ない脆弱性でも、CISA KEVへの収載(かつNVDのSSVCデータでexploitation=activeと記録)があれば深刻度の裏付けになる——数値の有無だけで判断せず、実悪用の記録を確認する価値がある事例。またMITREとNVDで同一CVEのCVSSが7.8/9.3と割れるのは、Scope と PrivilegesRequired の解釈差が原因で、二次情報の数値だけを鵜呑みにしないことの好例。

自律型AIペンテストエージェント XBOW が、バグバウンティ基盤 HackerOne の米国リーダーボードで首位に立った。数ヶ月で1,000件超の脆弱性レポートを提出し、直近3ヶ月の重大度内訳は Critical 54件・High 242件・Medium 524件・Low 65件。132件が確認・解決済み、303件がトリアージ済み。同社セキュリティ責任者は発見がすべて完全自動化されたものだと述べている。

「AIが人間の脆弱性ハンターを順位で上回った」という、外部プラットフォームの板上で検証できる形の実績。自社発表ではなく第三者が運営するランキングで測られている点が、この領域に多い自己申告型の主張と決定的に違う。一方で提出1,000件超に対し解決132件という比率は、受け手側のトリアージ負荷という新しいコストが発生していることも示す。

Google DeepMind と Google Project Zero が開発したAIエージェント Big Sleep が、SQLite のメモリ破壊脆弱性を発見。Google Threat Intelligence Group が脅威アクターによるゼロデイ準備の痕跡を特定しており、当該脆弱性は攻撃者だけが把握していて悪用直前の状態だった。Google はこれを「AIエージェントが実環境での脆弱性悪用を直接阻止した初めてのケース」と説明している。

脆弱性発見をAIに任せる価値が「量」ではなく「攻撃者との競争速度」で語られた事例。攻撃側が把握済みで防御側が未把握という最も危険な状態を、先回りして潰せたことに意味がある。ただし記事が示す根拠は脅威インテリジェンス側の痕跡検知の説明にとどまり、技術的な証拠は開示されていない。

LLM を搭載した自律解析プラットフォームが nginx のソースコードをスキャンし、約6時間で5件を候補として提示。うち4件を開発元の NGINX / F5 がメモリ破壊脆弱性として確認した。最大のものは ngx_http_rewrite_module のヒープバッファオーバーフローで、2008年に混入し18年間存在していた。認証不要・単一のHTTPリクエストでRCEに至りうる。出典は発見側企業の自社研究ブログだが、F5 の公式アドバイザリが CVSS 9.2(Critical) と格付けし修正版をリリースしている。

18年間、人間のレビューとファジングをすり抜けた欠陥が約6時間の自律解析で出てきたという時間差そのものが論点。成熟したOSSほど「もう枯れている」という前提が置かれがちだが、その前提はコードの古さと無関係に崩れうる。一方で指摘5件中4件が確認という精度は、誤検知の選別コストがまだ残ることも示している。

Searchlight Cyber の研究者 Adam Kues が、GPT-5.6 Sol Ultra に「最新安定版 WordPress のクリーンなソースコードを監査せよ」と指示。AI は REST API のバッチエンドポイントにおけるルート混同と WP_Query の SQL インジェクションを特定し、未認証状態からデータベースアクセス→管理者権限→リモートコード実行へ至る多段エクスプロイトを構築した。モデルの稼働は約10時間、計算コストは月額$200サブスクリプションの日割りで約$25。著者は翌日にAIの作業内容を解きほぐし、WordPress への報告書を作成している。なお元記事は報告書送付前の速報のためCVE番号・修正版の記載がなく、それらはTenable / Akamai / VulnCheck / Rapid7 など独立9社以上の報道で照合した。

「AIが脆弱性を見つけた」の内実が、スキャンによる指摘ではなく多段エクスプロイトの構築にまで及んでいる点が重要。人間の役割は対象の選定と、AIの出力を理解して報告可能な形に整えることへ移っている。約$25という費用は、同種の脆弱性がエクスプロイト仲介市場で$500,000で取引されるという著者の言及と対照的で、攻撃側の経済性が変質したことを示す。

Claude Code — 約50体のAIエージェント(赤チーム=脆弱性発見、青チーム=約95のセキュリティ統制に照らした防御評価)を並列稼働

Ministry of Technology and Innovation(アルバータ州テクノロジー・イノベーション省)が主体。25年前のJavaで書かれた補助金プログラムポータルをわずか4-5日で再構築した例も報告されている。