パッチ管理が限界に達成しました。フロンティアAI時代に「パッチ管理」や「検知」重視のセキュリティから「封じ込め型」重視へシフトすべき理由について解説します。
月間570件のパッチという「終わりのない徒競走」の終焉
2026年7月、サイバーセキュリティの歴史に刻まれる「最悪のパッチチューズデー」が訪れました。Microsoftが公開したパッチ（脆弱性修正プログラム）は、同社史上最大規模の570件となり、その中には3件のゼロデイ脆弱性と141件のリモートコード実行（RCE）が含まれていました。
直近の6月更新が200件を超えて過去最大規模とされていましたが、今回はそれを遥かに上回る件数となりました。
直近の6月更新が200件を超えて過去最大規模とされていましたが、今回はそれを遥かに上回る件数となりました。
この異常事態の背景には、Anthropic（アンソロピック）社が2026年4月に発表したAIモデル「Mythos（ミュトス）」があります。AIによる脆弱性発見が劇的に自動化されたことで、防御側が修正プログラムをテストし適用するスピードを、攻撃の種が芽吹くスピードが完全に追い抜いてしまったのです。
多くのCISO（Chief Information Security Officer）は今、絶望的な徒競走を強いられています。しかしながら断言できるのは、従来のような「脆弱性を見つけては塞ぐ」という後追い型の管理では、もはや組織を守ることは不可能になったと言うことです。私たちは今、戦略の「コペルニクス的転回」を迫られています。
衝撃の事実 AIが脆弱性発見を375%加速させた
データは残酷なまでの「防御の敗北」を突きつけています。AIの進化により、脆弱性の露出は人間の制御を完全に逸脱しました。
- Microsoft: 5月の120件から7月には570件へ急増（375%増）。
- Google Chrome: 5月の126件から6月末には433件へ（約240%増）。
- Adobe: 5月の52件から6月には123件へ（137%増）。
Googleでは、Chrome 149から150で 1,072件の脆弱性をAIで修正したとされており、Anthropicによれば、Mythosはすでに主要なOSやブラウザのすべてにおいて、数千件規模の深刻な脆弱性を特定していると言われています。
「脆弱性の発見スピードは、我々の修正能力を凌駕する勢いで拡大している」
この言葉が意味するのは、パッチ管理という「土俵」に留まる限り、負けは確定しているという事実です。
脆弱性は「入り口」に過ぎず、真の脅威は「横移動」にある
多くの企業は「家の鍵（パッチ）」を増やすことに必死ですが、真の悲劇は鍵が開けられた後に起こります。侵入した攻撃者がネットワーク内を自在に動き回る「ラテラルムーブメント（水平移動・横展開）」こそが、局所的な侵害を全社的な破滅へと変える真犯人です。
Zero Networks社 の「2026年版 ラテラルムーブメント暴露レポート」は、現代の企業ネットワークがいかに「壁のない大部屋」であるかを暴いています。
- 到達可能性の異常: 企業サーバーの80%が、ネットワーク内のどこからでも到達可能。
- 特権プロトコルの放置: 78.7%のシステムが、SMBやWinRM経由で到達可能。
- レガシーの呪縛: 内部認証の43.2%がいまだにNTLMに依存。
- 絶望的な「1ホップ」: たった一つの端末が侵害されるだけで、最初の1ステップで内部システムの85%に到達できる。
つまり、今のセキュリティ対策は、家の外壁に何百もの鍵（パッチ）を取り付けることに血眼になりながら、家の中には間仕切りの壁が一枚もなく、泥棒が一度入れば寝室から金庫室まで素通りできる状態を放置しているのです。
特に日本の企業に多い「フラットなネットワーク構成（境界防御型モデル）」は、AI時代の攻撃者にとってはこの上ないボーナスステージと言えるでしょう。
AIの「マシン・スピード」に人間は追いつけない
これまで私たちが信奉してきた「検知と応答（Detection and Response）」モデルも、AI時代にはその前提が崩れています。
攻撃者はRDP、SMB、RPC、WinRMといった「正規の管理プロトコル」を悪用します。これらは日常業務で使われるツールであるため、SOC（セキュリティ・オペレーション・センター）が悪意を判別するのは極めて困難です。事実、脅威アクティビティの70%以上がこれらの標準プロトコル上で行われています。
AIが「マシン・スピード」でネットワーク内の経路を列挙し、認証情報を奪取していく中、人間がアラートを分析し、会議を開いて対応を判断しているようでは、気づいた時にはすべてが終わっています。検知に依存する戦略は、AIの速度の前では無力です。
唯一の解決策 パッチに依存しない「封じ込め（Containment）」アーキテクチャ
「パッチレースでの敗北」を認めること。それが、この戦争に勝つための唯一の道です。戦略を「検知」から「構造的な封じ込め」へとシフトさせなければなりません。
今、CISOが問うべきは「侵入を検知できるか？」ではなく、「（侵入された端末から）物理的にどこに到達できるか？」という問いです。
解決の鍵は、「アイデンティティ・ベースのマイクロセグメンテーション」にあります。
- 不要な経路のデフォルト遮断: 業務に不可欠な通信以外は、物理的に「存在しない」状態にする。
- ジャストインタイム（JIT）アクセス: RDPなどの特権アクセスが必要な時だけ、MFA（多要素認証）による検証を経て「その瞬間だけ」ポートを開放する。
このアーキテクチャを構築すれば、たとえ1,000の脆弱性が放置されていても、攻撃者は「どこにも行けない」という壁に突き当たります。
実践ガイド 明日から取り組むべき5つのステップ
日本のビジネス環境において、レジリエンス（回復力）を具体化するための5つの実務的チェックリストを提示します。
- 実際の「爆発半径（Blast Radius）」を測定する ネットワーク図面を信じてはいけません。1つの標準的な端末や認証情報から、実際に何台のサーバーに到達可能か、Breach Mapなどのツールを用いて証拠ベースで確認してください。
- 不要な「東西方向」の経路を閉じる 日本の伝統的な「フラットなネットワーク」にメスを入れます。業務に不要な内部アクセスを徹底的に排除し、脆弱性が悪用される「道」そのものを消し去ります。
- 特権プロトコルを「瞬間」だけ保護する RDP、SMB、SSHをデフォルトで閉じ、アクセス要求があった時のみアイデンティティ検証（MFA等）を経て開放する「ジャストインタイム」方式に切り替えます。
- 検知に依存しない「構造的封じ込め」の確立 EDRが検知に失敗することを前提にします。「ツールが反応しなくても、攻撃が広がらない仕組み」が構築されているかをペネトレーションテストで検証してください。
- レジリエンス指標への乗り換え 「検知までの時間（MTTD）」といったスピード指標はAIの前では形骸化します。今後は「保護された重要資産の割合」「標準端末からの初手（1ホップ）での到達可能範囲」といった、構造的な防御力を示す指標で評価を行うべきです。
まとめ 増大するパッチを追うのをやめ、ビジネスを「継続」させる
MicrosoftやGoogleが脆弱性を修正し続ける努力は賞賛すべきものです。しかし、月に570件、あるいは今後1,000件、2,000件･･･、あるいは10,000件と増え続けるパッチを追いかけること自体を、戦略の柱に据えるのはキリがありませんので、もう終わりにしましょう。
AIが脅威を加速させる世界で生き残る道は、脆弱性の存在を前提としながらも、マイクロセグメンテーションによって攻撃者の足を止め、ビジネスを継続させるアーキテクチャを築くこと以外にありません。
最後に問いかけます。 「次の1,000件の脆弱性が公表されたとき、あなたの組織ではまだパッチ適用に埋もれて疲弊していますか？ それとも、最初から攻撃者がどこにも行けないように『構造的な免疫』を手に入れていますか？」
SCSKでは、次世代マイクロセグメンテーション Zero Networks を取り扱っております。「パッチ管理」から「封じ込め」への「コペルニクス的転回」をされたい場合には、ぜひお問い合わせください。