サイバーセキュリティの歴史の大部分において、脆弱性を見つけることが最も困難な部分でした。
そこには並外れた技術、忍耐、そして時間がかかった。特定の年に表面化する重大な欠陥の数は、ベンダーや防御担当者、そして各国のデータベースが吸収できるよう設計された範囲内に、おおむね収まっていた。 その下流にあるあらゆるもの――情報開示の規範、パッチ適用サイクル、リスク管理フレームワーク――は、すべて静かに同じ前提を共有していた。すなわち、「発見こそがボトルネックである」という前提だ。バグの発見に数週間、修正に数週間かかるのであれば、システムの両側面はおおむね同期して動き、妥当なスケジュールでパッチを適用する防御側は、侵入を試みる者たちの一歩先を行くことができたのである。
その契約は20年以上も続いた。今ではその契約はなくなっているが、ほとんどの事業モデルではまだその変化に気づいていない。
同期が崩れている
しかし、AIがこのシステムを一気に崩壊させたわけではない。業界が脆弱性への対応に活用しているインフラは、長年にわたり限界に達していた。そして、AIを活用した脆弱性発見が大規模に導入されるはるか以前から、その運用に携わる人々は公の場でそのことを指摘していた。AIが果たした役割は、決定的な一撃を与えたことだった。
これにより、脆弱性の発見にかかるコストが劇的に削減されました。かつては専門家が数日かけて分析していた作業も、今では自動化されたパイプラインによって、管理可能なコストで数分で完了します。これによる所要時間の短縮効果は劇的です。 公開された脆弱性が悪用されるまでの平均時間は、ほんの数年前にはおよそ1ヶ月かかっていたものが、数日のレベルにまで短縮され、最新の測定結果ではゼロ未満にまで達しています。つまり、平均して、パッチが公開される前に悪用が始まっているのです。脆弱性の情報が防御側に届く頃には、攻撃はすでに始まっているのです。
この事実をじっくりと噛みしめてほしい。制限付きフロンティアモデルを、最近公開されたFirefoxおよびWindowsの脆弱性に対してテストしたところ、わずか31分で動作する概念実証（PoC）が生成され、テスト対象となった21件のWindowsカーネル脆弱性のうち18件に対して数時間以内に実用的なエクスプロイトが作成された。さらに、与えられた8つの権限昇格チェーンすべてが18時間以内に成功し、それぞれが低権限のユーザーをシステム全体の制御権を持つ状態へと昇格させた。 対照的に、Windowsのパッチがシステムの90％に適用されるまでには、通常約7日を要します。これら2つのタイムラインを並べてみると、脆弱性が露呈する期間はもはや理論上の話ではなくなります。つまり、ゼロデイ時点でエクスプロイトが存在し、1週間経ってもシステムの大半は依然としてパッチが適用されていない状態にあるのです。
そのコストはごくわずかで、エクスプロイト1件あたりおよそ2,000ドルでした。公開された脆弱性を悪用するための障壁は、もはや技術力や時間ではありません。必要なのは数千ドルとAPIキーだけであり、これにより攻撃能力を持つ者の層が劇的に広がっています。この現象を表す業界用語はすでに定着しています。「N-day」（N日前に公開され、パッチが提供されている可能性が高い脆弱性）は、今や「N-hour」へと変化したのです。
しかし、ここが多くの議論で見落とされている点だ。発見のペースは加速したが、対応はそうではなかった。
防御側の立場から、そのタイムラインをたどってみましょう。脆弱性が発覚します。ベンダーがこれを認めるまで、数週間かかります。エンジニアリング部門が優先順位を判断・割り当てるまで、さらに数週間が経過します。パッチは回帰テスト、互換性確認、場合によっては規制当局による検証を経て、数週間から数ヶ月を要します。その後、顧客であるあなたは、事前に予定されていたメンテナンスウィンドウに合わせてパッチを展開する前に、自社の環境でそのパッチをテストすることになります。
これらの手順のいずれも無駄なものではありません。回帰テストが存在するのは、テストされていないパッチが、本来防ぐはずだったシステム停止そのものを引き起こす可能性があるからです。メンテナンスウィンドウは、運用上の調整が行われ、ダウンタイムが許容された計画的なイベントです。産業分野では、デプロイメントは安全工学上の審査と連動しており、一部の業界では規制当局の承認も必要となるため、そのスケジュールは数ヶ月単位で計られます。こうした制約は、プレッシャーがかかっても消えることはありません。それらは、プレッシャーに打ち勝つだけの正当な理由があって存在するのです。
つまり、現在、問題の発見はソフトウェアのスピードで進む一方で、対応は依然として組織のスピードでしか進んでいない。 この両者の間のギャップは、より優れたツールを導入すれば解消できるようなバックログではなく、構造的なものです。このギャップを埋めることは必須であり、そこから真の問いが浮かび上がります。それは単に「パッチを適用するスピードを上げられるか」というだけでなく、「私たちの運用モデル全体が、脅威が今設定しているペースに合わせて動くように構築されているか」ということです。ある段階でのスピードがいくら速くても、次の段階がそれに追いつけなければ意味がありません。
支援体制はすでに機能不全に陥っていた
2020年から2025年にかけて、CVEの登録件数は263％増加した。この増加の大部分は、AIを活用した大規模な脆弱性発見が導入される以前から生じていたものであり、ソフトウェアの増加、番号付与機関の増加、そして成熟しつつあるシステムに情報を提供する研究者の増加によるものであった。AIが登場する以前から、この処理パイプラインは年々、ますます大きな圧力にさらされていた。
そして、壁にぶつかった。生データのCVEを実用的な情報に変える深刻度スコアや製品マッピングの標準的な情報源として長年機能してきたNISTは、2025年に過去最多となる約4万2,000件の脆弱性情報を充実させたが、これは過去どの年よりも45％多い数値であり、それでもなお需要に追いつけないとの結論に至った（NIST、「記録的なCVEの増加に対処するためNVDの運用を更新」、2026年4月）。 2026年4月15日現在、NISTが詳細情報を追加しているのは、CISAの「既知の悪用済み脆弱性」カタログに掲載されている脆弱性、連邦政府が使用するソフトウェア、および大統領令14028号に基づく重要ソフトウェアの3つのカテゴリーのみである。それ以外のすべては最優先度が低いと分類され、アナリストによる深刻度スコアの付与や製品マッピングは行われていない。業界の推計によると、優先順位が付けられたカテゴリーは、予想される脆弱性の総量のわずか15～20％しかカバーしていないとされる。
AIを活用した脆弱性発見の時代が到来した瞬間だ。FIRSTの2026年予測は、当初、CVE件数が過去最高の中央値である約59,000件とされていたが、実際の件数が予測を上回ったため、約68,000件へと上方修正された。この急増は、それを吸収する余力のあるシステムではなく、AI導入前からすでに負荷に耐えかねていたシステムに直撃した。
スピードこそが唯一の構造的な防御手段である
正しい対応は迅速さであり、実質的に他に選択肢はありません。パッチの公開から1時間以内に実用的なエクスプロイトが存在し得る場合、唯一の持続的な防御策は、攻撃者がその情報を悪用するよりも速くその脆弱性を修正することです。継続的かつほぼリアルタイムでのパッチ適用は、IT分野ではすでに標準となりつつあり、まもなくIoT にも普及するでしょう。家庭でも職場でも、積極的なパッチ適用が新たな基準となるべきです。
そこで「OT 」という壁にぶつかります。ここでは、こうしたことは一切当てはまらないと直感的に考えてしまいがちです。プラントの管理者たちは何十年もの間、ITチームに対して「パッチ適用が稼働時間を妨げている」と訴えてきましたが、彼らの主張には一理ありました。 製油所や変電所における予期せぬダウンタイムは、現実的かつ即座にコストをもたらします。しかし、「パッチ適用を極力控える」という戦略が正当化されたのは、それらのシステムがエアギャップで隔離されており、脆弱性の悪用手法の開発に数週間を要していた時代に限られていました。それが1時間で済むようになった今、この戦略はもはや正当化できません。ここでもスピードは譲れない要素です。唯一の真の課題は、オンデマンドで再起動できない環境において、どのようなスピードが求められるかということです。
これは、ベンダーのスケジュールに合わせて稼働中のシステムを再起動するようなものではありません。資産に手を加えることなく、脅威の進展に歩調を合わせて防御する仕組みです。エッジでの仮想パッチ適用により、センサーやファイアウォールが、脆弱性のある資産への悪用を、検知され次第即座にブロックできます。多くの場合、メンテナンスウィンドウを利用して実際の修正を行うよりもはるかに早く対応が可能です。 シミュレーションやデジタルツイン技術を活用すれば、チームはパッチを適用する前にその運用への影響を評価できるため、テストを省略するのではなく、テストサイクルを短縮できます。また、資産自体にパッチが適用されるまでの間、防御ラインを維持するために、文書化された代替対策が直ちに実施されます。これらはいずれもパッチ適用に取って代わるものではありません。これらは、機械を停止させることができない状況において、防御が脅威に歩調を合わせるための手段であり、それらを制御するオペレーターたちが、次世代のOT セキュリティの実践を定義していくことになるでしょう。
これまでの考え方を一変させなければならない。長年にわたり、「あなたのパッチが私の稼働時間を妨げている」というメッセージが主流だった。しかし、これからはその逆でなければならない。パッチを適用し、まだパッチを適用できない部分を保護することこそが、稼働時間を維持する唯一の方法なのだ。可用性に対する最大の脅威は、もはや再起動ではない。脆弱性に真っ先に手を伸ばす攻撃者こそが、最大の脅威なのである。
出力を拡大する前にパイプラインを修正する
私たちは、他者に推奨する前に、まず自社でこれを適用しました。具体的には、研究パイプライン、検出、インテリジェンスという3つの側面においてです。Nozomi （Networks ）では、脆弱性研究の側面において、まさにこの非対称性に直面しました。AIによって自社の脆弱性発見が加速するにつれ、制約は下流の段階、すなわち発見内容の検証、ベンダーが対応可能な基準に沿った文書化、および影響を受けるメーカーとの責任ある開示の調整へと移行していきました。発見した脆弱性を責任を持って処理できる速度よりも、発見そのものの速度が上回ってしまったのです。
そこで、私たちは意図的な選択を行いました。それは、出力を拡大する前にパイプラインを改善するということです。単に、変更されていないバックエンドに対してより迅速な発見を行うのではなく、ワークフロー全体――トリアージ、技術分析、アドバイザリー作成――にわたって、AIを活用したツールを構築しました。その結果、これらの段階全体で測定したところ、2025年と比較して、脆弱性1件あたりの作業時間が約60％削減されました。
その数値の意義は、スピードそのものにあるわけではありません。重要なのは、大規模な規模で迅速に動く能力です。1件の発見にかかる時間を短縮することで、私たち自身が創出に一役買っている膨大な量の情報を、それに埋もれてしまうことなく、責任を持って処理できるようになるのです。インフラを第一に、規模拡大は第二です。しかし、これはエンドツーエンドの責任ある開示ワークフローの一部に過ぎず、一部だけを改善しても業界のスピードアップにはつながりません。 ボトルネックが真に解消されるには、そのプロセスのあらゆる段階、あらゆるレベルを支援するAIを構築する必要があります。そして、それには時間がかかります。私たちが構築しているのは、今日のデスク上の業務負荷ではなく、数年後に予想される処理量に対応するためのものです。しかし、その意義は私たち個人を超えた大きなものです。脅威の拡大に伴い増大する処理能力こそが、このペースを維持して業界全体が防御を続けるために必要となるものであり、私たちは他者がそれを証明するのを待つよりも、自らその有効性を実証したいと考えています。
まだ名前がついていないものを見つける
研究パイプラインの効率化が第一の課題でした。第二の課題は検出そのものであり、これにより、私たちが検出できる対象が変わってきます。
シグネチャベースのアプローチでは、すでに確認され、命名され、カタログ化されたものしか認識できません。このモデルは、新しいマルウェアが人間のアナリストが記録できるペースで出現していた間は有効でした。しかし、新しいツールがどのカタログも吸収しきれないほどの速さで登場し、最も危険なサンプルがまさにまだ誰も分類していないものばかりである状況では、このモデルは通用しません。 そのため、当社の研究のますます大きな部分は、AIを活用して、既知のシグネチャもハッシュ値も持たず、いかなるデータベースにも登録されていない悪意のあるコードや挙動を特定することに注力しています。これは、既存のものと照合するのではなく、その動作を推論することで実現します。目標は、脅威が100回目ではなく、初めて出現した時点でそれを認識し、その認識結果を、お客様が頼りにしているインテリジェンスに即座に反映させることです。
過去を読み解くのではなく、現在を見つめる
検知は第2の戦線でした。第3の戦線は情報収集です。つまり、数週間後に公表される報告書で事後的に知るのではなく、今まさに自社の環境と同様の環境に対して脅威が発生していることを把握することです。
threat intelligence の運用活動の大部分は、インシデント対応、攻撃者の調査、および公開アドバイザリに基づいて行われています。これらはいずれも素晴らしい取り組みですが、すべてが事後的な対応に過ぎません。ある攻撃キャンペーンが報告される頃には、重要な決定はすでに別の誰かによって、別の場所で、多くの場合数週間も前に下されているのです。OT インテリジェンス市場は過去形でのみ語られていますが、重要インフラは今、現在進行形で運用されなければなりません。
そのギャップを埋めるには、攻撃が発生している最中に、その攻撃が行われている環境の内部に身を置く必要があります。それが、私たちが築き上げた構造的な強みです。世界中で稼働している数千件のIoT ／OT の導入環境から、匿名化されたテレメトリデータが絶えず当社の研究インフラに送り返されています。これは単なる一般的なデータではなく、資産のインベントリやその経時的な変化、プロセスやコマンドの実行に至るエンドポイントの挙動、産業用プロトコルによる無線通信、さらには実際のプラントで稼働中のファームウェアと新しいCVEを照合して把握される脆弱性のリアルタイムな状態までを網羅しています。
これと並行して、自動化されたシステムが公開情報源や地下情報源からシグナルを収集し、当社独自のハニーポットが産業用プロトコルの囮に対する攻撃者の行動を捕捉し、Mandiantなどのパートナー企業が外部からの裏付けや攻撃元の特定に関する詳細情報を提供しています。
これらのレイヤーのいずれも、それ単体では独自のものではありません。ハニーポットもあれば、パートナーからのフィードもあり、脆弱性データベースもあります。違いは基盤にあります。すなわち、実際の産業用ネットワーク内に設置されたセンサーが、同等の環境が構築されていない限り、購入も、スクレイピングも、複製もできない「グラウンド・トゥルース」を生み出しているのです。
OT を標的としたイラン関連の活動は、過去2年間で最も一貫して続いている地政学的脅威の一つである。米国やアイルランドをはじめとする各地の水道事業者のプログラマブル・ロジック・コントローラ（PLC）数十台を侵害した「CyberAv3ngers」キャンペーンについては、今となっては振り返ってみれば十分に記録が残されている。 運用上の観点で重要なのは、この種の活動が単発の出来事として発生するわけではないという点だ。それは、特定の地域における特定の種類のデバイスを標的とした攻撃量の測定可能な変化として現れ、多くの場合、より広範な地政学的緊張の動向と連動している。その変化が進行している最中に察知すること――2週間後にアドバイザリで知らされるのではなく――こそが、情報に基づいた優先順位付けと、事後対応的な慌てふためきとの決定的な違いである。
ここで、「現在」を把握していることの真価が発揮されます。AIレイヤーが艦隊全体で新たな攻撃パターンが形成されつつあることを検知した場合、その情報は次のレポートサイクルまでキューに保留されることはありません。それは、お客様が即座に受け取れる保護策となります。つまり、検知内容とその背景情報は、攻撃キャンペーンが終息した後ではなく、まだ進行中の段階で配信されるのです。お客様は、自ら脅威を発見し、それを解釈してから対応する必要はありません。脅威が発生したその瞬間に、すでに保護されているのです。 悪用が情報開示を先取りしてしまう状況において、この即時性こそが肝心なのです。対応の速さが勝敗を分けるのは、まさにこの点にあります。
「Nozomi 」Networks プラットフォームを通じて、実環境における「OT 」および「IoT 」のテレメトリデータ、独自の調査結果、ならびに「threat intelligence 」を、産業環境向けの具体的な検知・保護機能へとどのように活用しているかをご覧いただけます。
次回の会議で提起すべき質問
スピードこそが防御ですが、スピードは既製品のように簡単に手に入るものではありません。それは、組織がそのスピードを実現できるよう構築されているか、そうでないかという問題です。たとえ世界最速のスキャナーがあったとしても、検出結果がキューに滞留し、対応権限を持つ担当者が対応するのを待っているだけでは、何の価値もありません。ある一つの質問によって、現在の脅威が要求するスピードで対応できる体制が整っているかどうかが明らかになります。
もし明日、大手ベンダーが自社製品に20～30件の脆弱性を公表した場合、90日以内に現実的に何件まで対策を講じることができ、その際にはどのようなプロセスを踏むことになるでしょうか？
「はっきりとはわからない」というのは、不合格というわけではありません。これは、運用モデルが現在の発見速度に合わせて調整されていないことを示すサインです。この調整は、以下の順序で、いくつかの基礎的な要素に基づいています。
- 資産状況と環境的背景。というのも、自らが保有していることを把握していない資産に対しては影響を評価できないため、工業団地においては、単発的な調査ではなく、継続的かつ主に受動的な把握が必要となる。
- セキュリティ、運用、財務の各部門を横断した連携による、拡張性のある意思決定プロセス、現在のスケジュールではパッチ適用が不可能な項目に対する文書化された代替統制措置、および明確なエスカレーション手順。
- 適切な指標：既知の脆弱性が発見されてからリスクが管理されるまでの期間を、資産クラスごとに分類したもの。「リスクが管理される」とは、パッチの適用または検証済みの代替対策の実施を意味し、漠然とした目標ではない。
これらが整備されて初めて、発見時や調査時のさらなる対応が、実行不可能な追加の業務負担となるのではなく、実際のセキュリティ強化につながるのです。
これらの基盤を実践に移すには、CVEのリストだけでは不十分です。このアプローチを運用に活かす方法の一つとして、Nozomi Networks のような専用プラットフォームの活用が挙げられます。Nozomi Networks を利用することで、資産所有者はOT およびIoT の資産を継続的に検出するとともに、環境内に展開されているソフトウェアやファームウェアと脆弱性を関連付け、多要素による資産リスクスコアを用いて是正措置の優先順位を決定することができます。Nozomi Networks プラットフォームのデモでは、このアプローチが実際にどのように機能するかをご自身の目で確認いただけます。
「発見と対応のギャップ」は、この状況における決定的な特徴であり、一過性の不便などではない。研究のスピードはますます加速し、敵対勢力は情報開示を数時間のうちに武器化し続けるだろう。技術的な厳密さや運用上の制約は確かに存在するが、それらは乗り越えるべき障害であり、ペースを落とす言い訳にはならない。優位性はツールのベンチマークには表れない。それは、制約下で組織がいかに迅速に意思決定し行動できるか、そしてその判断の根拠を取締役会や規制当局に対していかに明確に説明できるかに現れるのだ。
