AIで脆弱性の発見が急増、過去最多ペースに。守る側・攻める側で何が起きている？
ソフトウェアの弱点（脆弱性）の登録件数が2025年に4万8千件を超え過去最多に。背景にある生成AIが、守る側・攻める側でそれぞれ何をしているのかを整理し、数字の読み方と私たちにできることをまとめます。
ソフトウェアの「弱点（脆弱性）」が見つかるペースが、ここ数年で一気に上がっています。2026年10月17日の共同通信の報道によると、2025年に登録された脆弱性は4万8千件を超え、2021年の約2.4倍。2026年も6月までで3万5千件を超え、過去最多のペースだそうです。
背景として挙げられているのが、生成AIの広がりです。「AIのおかげで安全になるの？それとも危なくなるの？」——この記事では、数字の読み方と、AIが守る側・攻める側の両方で何をしているのかを整理し、私たちにできることをまとめます。
この記事のポイント
- 脆弱性の登録件数は2025年に過去最多。2026年はさらに上回るペース
- AIは守る側が弱点を先に見つける道具として成果を上げる一方、攻撃側にも使われ始めている
- 見つかる数が増えても、**直す（更新する）**ところが追いつかなければ安全にはならない
そもそも「脆弱性の件数」とは？
ソフトウェアの弱点が見つかると、世界共通の通し番号「CVE」がつけられます。たとえば「CVE-2026-12345」のような形式で、メーカーやセキュリティの担当者が同じ弱点を同じ名前で呼べるようにするためのものです。この番号の仕組みを運営しているのが、アメリカの非営利団体MITRE（マイター）です。
つまり今回の「件数」は、1年のあいだに番号がついた弱点の数のこと。報道された数字を表にすると、次のとおりです。
| 年 | 登録件数 | メモ |
|---|---|---|
| 2021年 | 約2万件 | 2025年の約2.4分の1 |
| 2025年 | 4万8千件超 | 過去最多 |
| 2026年 | 3万5千件超（1〜6月） | 半年で前年の7割を超えるペース |
セキュリティ研究者のジェリー・ギャンブリン氏の集計では、2025年は48,185件で、前の年より約2割増えています。深刻度が「緊急」「重要」とされたものは、あわせて約4割でした。
AIは「守る側」でどう使われている？
AIが弱点探しを速くしている例として、わかりやすいのがAI企業Anthropicの取り組みです。
2026年4月、同社は「Project Glasswing」という計画を発表しました。一般には公開していない高性能なAIを、Apple・Google・Microsoft・Linux Foundationなど、重要なソフトウェアを作る側の企業や団体に限って使ってもらい、弱点を先に見つけて直そうというものです。
公式ページによると、このAIは主要なOSやWebブラウザを含むソフトウェアから、深刻な弱点を数千件見つけたとされています。中には、
- 27年間だれにも気づかれていなかった、OpenBSD（安全性の高さで知られるOS）の弱点
- 自動テストで何百万回も通っていたはずのコードに、16年間ひそんでいた動画処理ソフトの弱点
もあったそうです。見つかった弱点はソフトの開発者に報告され、修正が進められています。
人が何年かけても見つけられなかったものを、AIが掘り起こし始めている——件数が増えている背景には、こうした動きがあります。
一方で「攻める側」にも
同じ力は、悪意のある人にとっても便利です。
2026年10月には、システムの弱点を自動で探すAIツールが、日本企業への攻撃に使われていたことがセキュリティ会社の調査でわかりました。くわしくは「中国で開発されたAIツールが日本企業への攻撃に」でまとめています。
また、JPCERTコーディネーションセンター（国内のセキュリティ情報を取りまとめる組織）は10月8日、国内で相次ぐ不正アクセスについて注意喚起を出しました。そこでは、すでに知られている弱点がないかを片っ端から調べる手口や、スマホアプリを解析して裏口のような通り道（API）を探す手口などが挙げられています。政府も10月上旬、情報漏えいが続いていることを受けて、企業に対策の徹底を呼びかけました。
数字を読むときに気をつけたいこと
ここは誤解しやすいので、補足しておきます。
- 件数の増加が、すべてAIのせいとは言えない：番号をつける仕組みに参加する組織が年々増えていることなど、ほかの要因も考えられます。報道でも、増えたうちのどれだけがAIによるものかは示されていません
- 件数が多い＝危険が増えた、とも限らない：見つかって番号がつくのは、直すための第一歩です。だれにも知られないまま悪用されるより、ずっとよい状態です
- 問題は「見つけた後」：弱点が公表されると、攻撃する側もその情報を見ます。修正版が出たのに更新していない機器やサイトが、いちばんねらわれやすくなります
私たちにできること
見つかる数が増えるほど、「更新」の大切さが増します。
個人として
- スマホ・パソコンの自動アップデートをオンにする。通知が来たら後回しにしない
- アプリやブラウザも最新に。古い版を使い続けない
- Wi-Fiルーターの更新も確認。数年前に買ったルーターは、メーカーのサポートが終わっていないか見ておく
- サポートが終わった機器は買い替えを検討。更新が来ない機器は、弱点が見つかっても直りません
Webサイトを運営している人として
- WordPressなどの本体・プラグイン・テーマを、こまめに更新する
- 使っていないプラグインや古い管理画面は削除する
- サーバー側のソフト（PHPなど）の更新情報も追いかける
サーバーのソフトの弱点については、「PHPに“致命的”な脆弱性」の記事が具体例になります。
このブログの考え方
AIが弱点を見つける力は、これからさらに上がっていくはずです。ただ、見つけるのがどれだけ速くなっても、最後に「直す」のは、更新ボタンを押す私たち一人ひとりです。
見つかることと、直ることのあいだにある時間をどれだけ短くできるか。AI時代のセキュリティは、案外そこで差がつくのだと思います。
まとめ
- 脆弱性の登録件数は2025年に4万8千件超で過去最多。2026年はそれを上回るペース
- AIは守る側の「弱点探し」を大きく速くした。一方で攻撃側の道具にもなっている
- 件数の増加がすべてAIによるものかは不明。番号がつくこと自体は、直すための一歩
- 私たちにできるのは、自動アップデートをオンにし、サポートの切れた機器を使い続けないこと
参考資料
- Project Glasswing（Anthropic、2026年4月7日）
- 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT/CC、2026年10月8日）
- 2025 CVE Data Review（Jerry Gamblin、2026年1月1日・英語）
- ITシステムの弱点、AIにより発見が急増（共同通信、2026年10月17日）
※ 記事の内容は、2026年10月21日時点の情報をもとにしています。
