Google Cloud、AIで脆弱性検出から修復まで自動化 - 「Google AI Threat Defense」で実現するAI時代の防御戦略

AIの進化によって脆弱性の発見と悪用のスピードが加速している。グーグル・クラウド・ジャパンは「Google Cloud Next Tokyo 26」で、AIを活用して脆弱性の検出から修復、監視までを支援する「Google AI Threat Defence」の詳細を説明した。
AI時代の脆弱性管理が課題に - IDCが示す国内企業のセキュリティ実態

まずは、日本国内におけるサイバーセキュリティの現状認識について、IDC Japan リサーチマネージャー Network & Security, Researchの山下頼行氏が解説を行った。

同社が3月に実施した調査では、企業が最も懸念しているセキュリティリスクはランサムウェア(17.6%)となった。背景としては2025年はアサヒグループホールディングスをはじめ、大企業におけるランサムウェアのインシデントが相次いだことが影響しているという。山下氏は「2026年4月以降、セキュリティ分野でもAI関連の脅威への関心が増加している。実際、フロンティアAIの浸透により、サイバーセキュリティへの影響が話題になっている」と話す。

このような状況に対して日本政府も対策に本腰を入れるべく、5月に国家安全保障局と国家サイバー統括室が中心となり、AI技術の急速な進化・高度化に対応するための政府全体のサイバーセキュリティ対策パッケージ「Project YATA-Shield」を発表。重要インフラ事業者や金融機関、医療機関に注意喚起、対応の要請を行っている。経営層の関与、基本的なサイバーセキュリティ対策の徹底、高性能AIにより高速化する脆弱性の発見・修正への対応が求められている。

IDC Japanの調査では、生成AIやAIエージェントの業務利用によるリスクの懸念を尋ねたところ、全体では「外部AIへの機密情報の入力」(19.8%)が最多となったが、従業員1000人以上の大企業では「AI生成コードの脆弱性」(23.6%)となり、AIが生成したコードの品質やセキュリティリスクへの警戒感が高いという。

昨今では、高性能AIが脆弱性を大量に発見するようになり、主要なソフトウェアベンダーからのパッチのリリースが急増し「Patch Wave」と呼ばれる現象が起きているという。この状況について山下氏は「政府からもパッチ適用の増強が要請されているが、膨大な量のため人手で処理するのは困難であり、対応の高速化・自動化が急務だ」と強調する。

しかし、調査ではセキュリティ運用における自動化については「許容できない」との回答が約半数を占め、技術力だけでなく「いかに信頼して任せてもらえるか」がセキュリティベンダーの重要課題であるとの見立てだ。

そのうえで、山下氏は「信頼を満たす設計が必要。それは『自動化対処の根拠を説明可能にする設計』『人間とAIの役割分担』『実績の開示』の3要素を満たす設計だ」と説明していた。
AIが脆弱性発見を加速、攻撃者とのスピード競争が激化

ここからはGoogle AI Threat Defenseについて見ていこう。同ソリューションについては、Google Cloud Security & Mandiant CTO(最高技術責任者)のスティーブ・レザン氏と、グーグル・クラウド・ジャパン 執行役員 カスタマー エンジニアリング統括の渕野大輔氏が解説した。

レザン氏は「AIは脆弱性発見を得意としているが、攻撃者もAIを活用し始めている。2020年から2026年にかけて脆弱性件数は約3倍に増加し、MTTE(悪用までの平均時間)は1.3年から1.6日に短縮された。防御側は従来以上の速度で脆弱性へ対応する必要がある」と危機感を示した。

昨今では、攻撃対象が自社開発プログラムにとどまらず、OS、オープンソースソフトウェア、クラウドの権限設定など多様化しており、脆弱性スキャンを実行すると修正不可能なほど大量のアラートが発生し、人手での対応は限界となっている。

.