Google Threat Intelligence Group（GTIG）は2026年9月30日、ブログ記事「Vulnerability Discovery and Exploitation Trends in the AI Era」を公開した。2025年1月から2026年8月までに開示された脆弱性と、実環境で確認された悪用の統計をもとに、人工知能が脆弱性の発見と悪用に与えている影響を測ろうとした分析である。執筆者はRobin Grunewald、Supriya Mazumdar、Kelli Vanderleeの3名。GTIGは、旧Mandiantの脅威インテリジェンス部門とGoogleの脅威分析グループ（TAG）を統合したGoogle Cloud傘下の組織で、国家系攻撃者、ゼロデイ悪用、AIの悪用動向を継続的に追跡している。セキュリティ製品を販売する事業者自身の発信である。記事の結論部は、Googleの自動コード修正エージェント「CodeMender」と製品群「Google AI Threat Defense」の導入を推奨して締めくくられている。また、記事で用いられるリスク評価はGTIG独自の指標であり、外部の研究者が同じ評価を再現することはできない。
報告書の主張は四つにまとめられる。第一に、月間の脆弱性開示件数は2026年1月の5,045件から7月に10,477件、8月に10,740件へと倍増した。第二に、実環境で悪用された脆弱性は2025年の月平均10.5件から、2026年1〜8月の月平均18件へとほぼ倍増した。第三に、ゼロデイ（修正版の提供前に悪用される脆弱性）の悪用は、月平均8件から11件への小幅な増加にとどまった。第四に、AIの支援で発見された脆弱性は、低リスクの比率が低く、中リスクとリモートコード実行（RCE。外部から任意のコードを実行できる脆弱性）の比率が高い。GTIGはこの傾向が短中期的に続くと見ている。そのうえで、優先順位をつけずにすべてにパッチを当てる運用から、脅威インテリジェンスに基づいて優先度を判断する運用へ移行し、境界防御の重点化とエージェントによる自動修復を組み合わせるべきだと提言している。
対象期間・指標・AI関与の特定手法
分析対象は2025年1月1日から2026年8月31日までの20か月間に開示された脆弱性である。各脆弱性には、悪用された場合に何が起きるかという分類（リモートコード実行、情報漏洩、データ改ざんなど）、GTIG Vulnerability Risk Ratingsによる評価、実環境での悪用の有無が付与されている。記事は、本文中のリスク評価が業界標準のCVSSによる深刻度ではないことを明記している。CVSSは脆弱性の技術的な深刻度を示すのに対し、GTIGの評価は実際の悪用可能性や攻撃者の関心といった脅威の文脈を織り込む点が異なる。20か月全体をベースラインとしつつ、分析の重点は2026年に入ってからの増加速度と、新たに現れた攻撃経路に置かれている。
方法論の中核は、ある脆弱性の発見にAIが関与したかどうかを特定する手順である。記事は、公開データではAIによる発見が大幅に過少計上されていると認め、その構造的な理由を二つ挙げる。一つは、公開CVEデータベースにAIの関与を示す統一的なメタデータが存在せず、人手による推定に頼らざるをえないこと。もう一つは、大手クラウド事業者やSaaS事業者が、AIの見つけた脆弱性を本番環境で直接修正し、CVE番号を申請しないことである。CVE番号は通常、顧客側でのパッチ適用調整が必要なオンプレミス製品や第三者製ソフトウェアに割り当てられる。加えて、協調的脆弱性開示の慣行に従い、一定期間は公表が控えられる発見も多い。こうした制約のもとでGTIGが採った特定手順は二段階である。第一段階では、最先端のAI研究プログラムが確認済みとして公表した開示を直接取り込む。第二段階では、米サイバーセキュリティ・インフラ安全保障庁（CISA）の勧告、MITREの記録、ベンダーのセキュリティ情報をプログラムで監視し、根本原因の発見や概念実証コードの作成を自律型AIエージェント（Hacktron AI、AISLEなど）の功績と明記した記述を拾い出す。「AIが発見した」とされる母集団は、AIの関与を自ら公表した発見に限られるということである。
開示件数の倍増と「CVEインフレ」
開示件数は2026年1月の5,045件から7月に10,477件へ倍増し、8月には10,740件でピークに達した。ただし記事は、件数をそのまま脅威の増大として読むことを戒めている。オープンソースのエコシステムでは、CVE番号採番機関（CNA）が自動的に番号を割り当てる方針をとることがあり、それがベースラインを押し上げるためである。象徴的な例として、説明文に「Linux Kernel」を含む脆弱性だけで2026年1〜8月に約5,000件のCVEが生じ、そのうち実環境で悪用されたゼロデイは1件もなかったことが挙げられている。Linuxカーネルの開発コミュニティは2024年に自らCNAとなり、修正のたびに広く番号を振る方針をとっている（この経緯は報告書の外の背景情報である）。開示件数の増加の一部は、発見能力の向上ではなく採番慣行の変化に由来する。
リスク評価別では、高リスク脆弱性の増加が最も目立つ。開示件数は2026年1月の131件から8月の350件へと167%増えた。それでも8月の全開示に占める割合は3%にすぎない。記事はこの増加を二つの要因が重なった結果と説明する。一つは、影響を受けるベンダーの裾野が広がり、高リスク開示のベースラインそのものが2025年半ばの月約65件から2026年半ばの月約135件へと倍以上になったこと。もう一つは、特定ベンダーの開示が特定の時期に集中したことである。
| 時期 | ベンダー | 内容 | 高リスク件数 |
|---|---|---|---|
| 2026年4〜5月 | TOTOLINK | 家庭用ルーターのファームウェアに対する大量の研究開示。年央のコマンド実行型脆弱性の急増を牽引 | 75件 |
| 2026年6〜8月 | Oracle、Linux | OracleのWebLogicやCoherenceなどミドルウェアの四半期定例パッチと、Linuxカーネルのネットワークドライバ勧告が重なり、RCE型の増加に寄与 | 8月だけで128件（同月の高リスク開示の約37%） |
実環境での悪用とNデイ仮説
2026年1〜8月にGTIGが記録した、開示済みかつ悪用された脆弱性は141件で、2025年通年の127件をすでに上回った。一方で、悪用された脆弱性が開示全体に占める比率は極めて小さい。2026年の開示のうち実際の悪用が観測されたのは0.23%、約431件に1件である。このため月ごとの悪用件数は、ベンダーの開示サイクルや攻撃キャンペーンの一時的な集中に左右されやすいと記事は注意を促す。また2026年5月以降は、悪用の伸び（指数化で+127%）が開示の伸び（同+128%）とほぼ一致しており、悪用は開示を上回るペースではなく、脆弱性全体の増加と歩調を合わせて拡大していると記述されている。
ゼロデイの悪用は月平均8件から11件への小幅な増加だった。2026年半ばまでは月8〜12件の基準水準で推移し、8月に22件へ跳ね上がった。ゼロデイは開示全体に対してはごく少数だが、2026年1〜8月に悪用が観測された脆弱性の62%を占めており、悪用の主体であることに変わりはない。悪用全体がほぼ倍増したのにゼロデイの伸びが小さいことから、記事は、増加の主な源泉がNデイ（すでに開示され修正版が出ている脆弱性）の迅速な兵器化にあると推測する。その仮説として、攻撃者がLLMやAIツールを使って製品バージョン間の差分、パッチ、脆弱性の告知、概念実証コードの分析を自動化し、新たなゼロデイを探すよりも効率よくNデイを攻撃に転用しているという可能性を挙げる。ただし記事自身はこれを可能性として提示しており、攻撃者によるAI利用を直接観測した証拠は示していない。観測されているのは、高リスク脆弱性の悪用が2025年の28件から2026年1〜8月の75件へ倍以上に増えたことである。
攻撃面別では、2026年1〜8月に悪用された脆弱性の14%がエッジ機器およびセキュリティアプライアンス、11%がディレクトリや協業基盤といった企業の中核サービスに関するものだった。エッジゲートウェイは初期侵入の主要経路とされ、悪用されたエッジ機器の脆弱性の65%超がGTIG評価で高またはクリティカルに該当した。攻撃者は認証不要で公開されている管理インターフェースを狙い、エンドポイント検知・対応（EDR）エージェントを導入できない機器の死角を突いているという。開示件数が急増しても、攻撃者の悪用活動は境界機器と外部公開された企業サービスに集中したままである。
4指標の成長率比較
月次の件数をそのまま並べると、1桁台のゼロデイと1万件を超える開示の規模差が大きすぎて、伸び方の違いが見えなくなる。そこで記事は、2025年1月を0%とする指数に四つの指標を揃え、3か月移動平均の成長率で比較している。
| 指標 | 2026年8月時点の伸び | 記事の読み |
|---|---|---|
| CVE開示全体 | +128% | 2026年に入り着実に加速 |
| 高リスク脆弱性の開示 | +241%（基準の約3.4倍） | 最も急な伸び。ただしLinux、Oracle、TOTOLINKを除くと+128% |
| 実環境での悪用 | +127% | 開示全体とほぼ同率。伸びが本格化したのは2026年第2四半期以降 |
| ゼロデイ悪用 | +59% | 8月の22件で、夏以降に上昇傾向が出始めた |
記事はこの乖離から、2026年の悪用増は新たなゼロデイの大量発生ではなく、高リスク脆弱性の迅速かつ標的を絞った兵器化によるものだと結論づけている。一方で、本文が「1月から8月にかけて倍増」と述べる開示件数の伸び（5,045件から10,740件、約113%増）と、2025年1月を基準とする指数の+128%は、基準時点が異なる数字である。読む際には両者を区別する必要がある。
「狩る側」のAI：AI支援による脆弱性発見
記事の中核は、AIが発見したと特定できた脆弱性と、それ以外の脆弱性との比較である。2026年1〜8月のGTIGリスク評価の分布は次のとおりである。
| GTIGリスク評価 | AIが発見していないCVE | AIが発見したCVE |
|---|---|---|
| 低 | 69% | 39% |
| 中 | 28% | 58% |
| 高 | 3% | 4% |
従来型の開示は低リスクが7割を占めるが、AIが発見した脆弱性ではこの分布が逆転し、中リスクが58%と基準の2倍超、低リスクは39%に下がる。高リスクの比率は3%と4%でほとんど差がない（AI発見側の数値は合計101%で、端数処理によるものとみられる）。悪用時の帰結による分類でも差は明確である。AIが発見した脆弱性のちょうど50%がリモートコード実行につながるのに対し、CVE全体では26%である。逆に、情報漏洩は8%対18%、データ改ざんは5%対9%と、影響の小さい類型ではAI発見の比率が半分以下にとどまる。
記事はこの分布の理由を二つの側面から説明する。第一は運用上の選択効果である。研究プログラムはAIエージェントに表面的な不備やコンプライアンス警告を広く走査させるのではなく、重要インフラや権限境界の監査を意図的に指示し、影響の大きい発見に焦点を当てている。Mandiantも、顧客のコードベースを時点評価する際に用いる「Agentic Vulnerability Discovery Harness」（AVDH）で同様の結果を得たとしている。第二は技術的な適性である。最先端のエージェントはC/C++の中核ライブラリ、ランタイム、ハイパーバイザーにまたがる多段階のコード経路をたどるよう設計されている。ファジング用のハーネスを生成し、メモリ状態をモデル化し、目立たない境界条件のロジックを連鎖させることで、バッファオーバーフローや解放後使用といったメモリ破壊、ロジックの迂回を見つけ出す。これらは従来の静的解析ツールが見逃してきた類型である。記事は分布の差が主に第一の選択効果を反映しているとみており、能力差と選択効果を切り分けるデータは示されていない。
AIが発見した脆弱性がすでに実際に悪用されている事例として、記事はCVE-2026-1731を挙げる。BeyondTrustの特権リモートアクセス製品（Privileged Remote Access）とRemote Supportに存在した、認証不要のOSコマンドインジェクションで、第三者の研究エージェントであるHacktron AIが自律的に発見した。公開後、GTIGは企業の境界を突破する標的型の初期侵入に使われるのを観測した。公開から4日以内に最初の脅威クラスターが悪用を始め、7日以内にさらに5つのクラスターが続いた。侵入後には権限昇格、データ窃取、二次ペイロードの投下が行われ、投下物にはSNOWLIGHT、SPARKRAT、暗号資産の採掘ツールが含まれていた。記事はこれを確立した傾向ではなく初期の兆候と位置づけつつ、防御側のAIエージェントが見つける高影響の脆弱性は、攻撃者が積極的に求める脆弱性と重なっていることを示す事例としている。
「狩られる側」のAI：AI運用基盤の脆弱性
記事の後半は、AIそのものを支えるソフトウェア群の脆弱性を扱う。GTIGは20か月間で累計2,076件のAI関連CVEを追跡し、そのうち1,500件超が2026年1〜8月に集中していた。2026年分は8つの層に分類されている。
| 層 | 主な製品・フレームワーク | 主な脆弱性の類型 | 2026年件数 |
|---|---|---|---|
| AIオーケストレーション・エージェント基盤 | Flowise、Langflow、LangChain、Dify、LlamaIndex、AutoGen、CrewAI、Semantic Kernel、Letta、MCP、Pydantic-AI | 信頼できないワークフローの直列化データ、安全でないPythonツール呼び出し、サーバーサイドテンプレートインジェクションを経由した任意コード実行とコマンドインジェクション | 782 |
| AIウェブアプリ・ポータル | Open-WebUI、AnythingLLM、FastGPT、LibreChat、RAGFlow、Gradio、Streamlit、LobeChat、Chainlit、GPT4All | チャットの中継を悪用したサーバーサイドリクエストフォージェリ（SSRF）、Markdown描画での格納型クロスサイトスクリプティング、文書アップロード処理でのローカルファイル読み込み | 230 |
| 推論・配信基盤 | vLLM、Ollama、LiteLLM、Llama.cpp、NVIDIA Triton、Ray、TGI、SGLang、TensorRT-LLM、BentoML、LocalAI | 認証のない管理API、モデルチェックポイントの逆直列化、テンソル処理部のメモリ破壊、マルチテナント環境での資源枯渇 | 212 |
| モデルセキュリティ勧告 | 基盤モデルの重み、システムプロンプト、ガードレール、評価ツール（Garak、Lakera、Promptfoo） | 直接・間接のプロンプトインジェクション、システムプロンプトの流出、ガードレール回避、学習データ汚染、エージェントへの過剰な権限付与 | 106 |
| 機械学習フレームワーク・ハブ | PyTorch、Hugging Face、Transformers、ONNX Runtime、TensorFlow、Diffusers、DeepSpeed、Safetensors、Keras | C++テンソル演算子のヒープオーバーフローや範囲外読み取り、悪意あるモデル・データセットの展開による任意ファイル上書き | 99 |
| フロンティアモデル | Anthropic、Gemini、OpenAI | CLIのシェル補間や作業領域設定の暗黙実行による任意コード実行、Gitワークツリーのディレクトリ混同やメモリツールのシンボリックリンク走査によるサンドボックス脱出、間接プロンプトインジェクションで誘発したMarkdown画像描画や緩いネットワーク取得許可リストによる秘匿的なデータ持ち出し | 97 |
| MLOps・実験管理 | MLflow、ClearML、Weights & Biases、Kubeflow、Langfuse、Langsmith、Arize、Phoenix、Helicone | 任意ファイル上書き、認証のない追跡サーバーの乗っ取り、共有実験レジストリでの成果物削除 | 39 |
| ベクトルデータベース・検索 | Milvus、Qdrant、ChromaDB、Weaviate、Pinecone、FAISS、LanceDB、PGVector、Marqo、Vespa | 認証のないコレクション操作、クラスタリング・索引作成プラグイン経由のコード実行、メタデータ問い合わせへのSQL/JSONインジェクション | 19 |
表の合計は1,584件となり、「1,500件超」という記述と整合する。記事は、2026年の開示が三つの領域に集中していると分析する。第一はエージェントのオーケストレーション層である。AI関連の脆弱性の50%を占め、開示は2026年に347%増加した。FlowiseやLangflowのような視覚的なワークフロー構築ツールや自律エージェント基盤は、外部環境とやりとりするために動的なコード実行ノードを組み込むことが多い。攻撃者はプロンプトインジェクションや細工したワークフローJSONでこのノードを悪用し、実行ループを乗っ取る。記事の表現を借りれば、自然言語のプロンプトが認証不要のリモートコード実行に変わる。第二は企業向けのAIゲートウェイで、記事はこれを二重の脅威経路と位置づける。アプリケーション層では、侵害されたゲートウェイから外部APIの鍵や、個人情報や独自ソースコードを含むプロンプトの流れが漏れる。インフラ層では、データベースの認証情報を窃取し、社内のクラウド環境へ横展開するための足場になる。第三は推論基盤で、vLLM、Triton、LiteLLM、Ollamaなどの開示は2026年に212件に達し、その24%が認証のないAPIエンドポイントかSSRFに由来する。これらは境界ファイアウォールの迂回、高価なGPU資源の浪費、独自モデルのチェックポイント窃取に使える直接の侵入口になる。
AI基盤に対するゼロデイ悪用はまだ観測されていない。しかし公開済みの脆弱性は、外部に露出したミドルウェアで実際に兵器化されている。累計2,076件のうち実環境での悪用が確認されたのは一握りにすぎないが、記事はそのうちGTIG評価が高で、認証不要のコード実行、コマンドインジェクション、任意ファイル書き込みをもたらす3件を挙げている。
| CVE | 対象 | 内容 |
|---|---|---|
| CVE-2026-42271 | BerriAI LiteLLM | Model Context Protocol（MCP）サーバーの接続テスト用エンドポイント（POST /mcp-rest/test/connection）でのコマンドインジェクション。ホストの乗っ取りとAPI認証情報の窃取に至る |
| CVE-2026-5027 | Langflow | ファイルアップロード処理（POST /api/v2/files）でのパストラバーサルによる書き込み。cronジョブやSSH鍵をホストに配置できる |
| CVE-2025-3248 | Langflow | コード検証用エンドポイント（/api/v1/validate/code）での、exec()を経由した認証不要のPythonコード注入。即時のコード実行が可能 |
GTIGの展望と処方箋
GTIGは、脆弱性の発見と悪用の件数が短中期的に増え続ける可能性が高いと見ている。関連する調査として、同組織の5月のAI Threat Trackerは、生成AIで作られたゼロデイ攻撃スクリプトを攻撃者が保有していた初の既知事例を報告している。この事例は作戦計画の段階で阻止され、実環境では実行されなかったが、スクリプトの構造にはLLM生成の痕跡が高い確度で認められたという。9月のAI Threat Trackerでは、攻撃者がエージェント型の脆弱性発見ツールを試作し、資源を共有している様子が報告された。記事は、攻撃者がゼロデイとNデイの悪用を本格的に拡大する前の今が、防御側にとって猶予期間であると位置づけ、二つの方向の強化を求める。一つは開示済み脆弱性の優先度判断と修正の近代化であり、Mandiantが別記事で示したAI支援型の脆弱性管理の枠組みを参照先に挙げる。もう一つは、他社や消費者にソフトウェアやサービスを提供する組織が、出荷前にAIによるコードレビューを社内で実施することである。ここでCodeMenderとGoogle AI Threat Defenseが具体名で推奨されている。記事は、出荷前のAIコードレビューが標準になれば、公開脆弱性の増加ペースはいずれ鈍化しうると述べて締めくくる。AIエージェントの作業環境をサンドボックス化することや、リスクに基づく脆弱性管理も、AI基盤という新たな境界を守る手段として挙げられている。
何が観測で、何が推論か
報告書の価値は、AIの影響という語られやすい主題について、開示数、悪用数、リスク分布、攻撃面という複数の観測系列を同じ期間で並べて示した点にある。観測として確かなのは、開示件数の倍増、悪用件数の増加、高リスク脆弱性の悪用の増加、AI関連CVEの急増、AIが発見した脆弱性の一部が短期間で悪用された事例である。一方で、2026年の開示倍増がAIによって引き起こされたという因果関係は、記事のどこでも直接には示されていない。AIが発見したと特定された脆弱性の件数（比較表の分母）も開示されておらず、69%対39%といった比率の統計的な重みは評価できない。Nデイの迅速な兵器化をLLMが支えているという説明も、記事自身が可能性として述べる仮説である。
数字の内部にも注意点がある。高リスク開示の+241%は、Linux、Oracle、TOTOLINKの3ベンダーを除くと+128%となり、開示全体の伸びとほぼ同じになる。高リスク脆弱性の急増として目立つ部分の多くは、特定ベンダーの開示サイクルと大量の研究開示で説明できるということである。また、AIによる発見の過少計上は一方向に件数を減らすだけでなく、比較の構図も歪めうる。AIの関与を自ら公表するのは、重大な発見を宣伝価値のある成果として示したい研究プログラムやベンダーに偏りやすいと考えられる。そうであれば、AI発見群に重大な脆弱性が多いという結果は、発見能力の差だけでなく公表行動の差も反映していることになる。この点は報告書の外からの指摘だが、記事が自ら認める運用上の選択効果と同じ方向に働く。
偽情報・情報操作の研究から見ると、この報告書が直面している測定上の問題は既視感がある。AIの関与を示す統一的なメタデータがなく、関与が自己申告に依存し、検出されないものは計上されない。この構造は、AI生成コンテンツが情報操作キャンペーンに占める比率を推定する際の困難とほぼ同じである。GTIGは「過少計上」を明言したうえで、公表済みの台帳と勧告文の解析という限定的な特定手順を選んだ。その手順の透明性と、分母の非開示という不透明さが同じ記事に並存している点は、AIの影響を計量する研究全般に共通する課題を示している。AIエージェントのオーケストレーション層で、自然言語のプロンプトが直接コード実行に変換されるという指摘も、間接プロンプトインジェクションによって生成AIの出力を操作する手法が、情報の完全性とシステムの安全性の双方にまたがる問題になりつつあることを示している。
コメント