フロンティアAI時代の脆弱性管理、追いつかないパッチ適用から「封じ込め」戦略へ

今日のサイバーセキュリティの現場で、情報システム部門やセキュリティ担当者が直面している最大の課題は、文字通り「パッチの洪水（Patch Avalanche）」に飲み込まれ、窒息しかけていることです。脆弱性管理は長年、企業の防御戦略の「一丁目一番地」とされてきました。しかし、私たちが長年信じてきたその前提条件が、今、根底から崩れ去ろうとしています。

最新の業界レポートが突きつける数字は、もはや従来の運用が限界に達していることを雄弁に物語っています。
世界をリードするサイバーセキュリティ企業 マンディアント（Mandiant）の「M-Trends 2026 Report」によれば、最多の初期侵入経路は、6年連続で脆弱性悪用（エクスプロイト,Exploit）が32%を占めており、ベライゾン（Verizon）の「データ漏洩調査報告書（2026 Data Breach Investigations Report）」でも、脆弱性の悪用（Exploitation of vulnerabilities）が初期アクセスの31%を占めています。これは前年比 155%という驚異的な増加です。さらに、IBMの「データ漏洩コスト報告書（Cost of a Data Breach Report 2026）」では、サイバーインシデントの平均侵害コストが前年比12%増、過去最高の約5億円（499万ドル）を記録し、また、AI駆動の攻撃により侵害1件あたり平均コストが100万ドル上乗せされていることも明らかになりました。

この危機の引き金となったのは、2026年4月に相次いで発表されたAnthropic社の Mythos（ミュトス）や、OepnAI社の Daybreak（デイブレイク）といったフロンティアAIモデルの台頭です。これらの最先端AIモデルは、主要なOSやWebブラウザのすべてに存在する数千件もの高重要度の脆弱性を、瞬時に発見・分析・コード化する能力を持っています。マンディアントのデータでは、脆弱性発見から悪用までの平均活用時間（TTE: Time To Exploit）が2025年には「マイナス7日」にまで短縮されました。つまり、ベンダーがパッチを公開する1週間も前から、AIによる自動化された攻撃が始まっているのが現代の常態なのです。

これまでの脆弱性管理は、「スキャン→評価→パッチ適用」というサイクルが「人間が対応できる速度」で回ることを前提としていました。しかし、2026年7月のマイクロソフトのパッチチューズデー（Patch Tuesday）において、単月で史上最多の570件もの修正がリリースされた事実は、もはや「So What?（だから何が問題なのか）」という問いに対する残酷な回答です。人間がパッチを検証し、業務影響を確認しながら適用する速度を、機械が脆弱性を量産する速度が完全に上回ってしまったと言う事実に他なりません。

「100%のパッチ適用」という幻想を追い続けることは、もはや戦略的な敗北を意味します。私たちは今、パッチを「当てる」ことのみを目的とする旧来の思考を捨て、新たな防御アーキテクチャへと舵を切るべき岐路に立たされています。この「機械の速度」に対抗するための、パラダイムシフトとしての新戦略をご提案します。

具体的には、Zero Networksの「Breach Map（ブリーチマップ）※」のような可視化ツールを用い、CVSSスコアという理論的な深刻度ではなく、侵害された際の影響範囲である「ブラスト半径（爆風範囲/影響範囲、Blast Radius）」を基準にリスクを再定義します。アイデンティティベースのマイクロセグメンテーションによって、資産そのものではなく「誰が、どの業務のために、どこへアクセスすべきか」という動的な制御を基盤に据えるのです。これにより、パッチ未適用の脆弱性が存在する状態でも、ビジネスの継続性を維持できるレジリエンスが確保されます。それでは、この戦略を実現する具体的なテクノロジーについて深掘りしていきましょう。

※ Breach Map：Zero Networksが提供する無料のネットワーク診断ツール。企業内部ネットワークをスキャンし、攻撃者が侵入した際にどこまでラテラルムーブメントできるかのブラスト半径を視覚的なマップとして数分で表示する機能を提供する。