Microsoftが今月公開したWindows 10/11向けの月例更新プログラムでは570件もの脆弱性が修正されました。
従来と比較すると驚異的な修正数ですが、背景にはWindowsの開発パイプラインにAIベースの脆弱性検出ツールが本格的に組み込まれ始めたという理由があます。
Microsoftはこれを「新しい標準」と捉えているものの、AIがコードを高速に解析し、潜在的な問題を大量に発見するようになったことで、従来の人力中心の品質管理とはまったく異なる新しい負荷が生まれているようです。
Anthropic「Mythos」がもたらした衝撃
ProPublicaの報道によれば、Microsoftの内部ではAnthropicのClaude Mythos Previewが「期待以上の成果を出している」と評価されています。Mythosは、40社のパートナー企業に限定提供された高度なセキュリティモデルで、製品が悪用される前に脆弱性を洗い出す目的で運用されています。
しかし、Mythosの強力なバグ検出能力は、新たな問題を生みました。AIが見つけるバグの量が、エンジニアが修正できる量を大幅に上回ってしまったという事実です。例えば2024年4月には、SharePointだけで90件の重大な脆弱性、141件の重要な脆弱性が発見されました。バグの修正を保証するのはエンジニアであり、対応能力には限界があります。
Microsoftのエンジニアリングマネージャーは、チームに対して「可能な限り多くのバグを修正する」よう強く求めていてます。全てのバグに対応できないため、重大 → 重要 → 中程度の順に対応しているそうですが、中程度以下の脆弱性は後回しになりがちで、修正完了は 8月頃までかかるとの見通しも示されました。
中程度の脆弱性は一見すると優先度が低いように見えますが、複数の中程度の問題を組み合わせることで、重大な攻撃につながるケースもあります。重大ではない問題を後回しにしても安全とは限らないという構造的なリスクが存在します。
これはSharePointだけの話ではなく、Teams、Microsoft 365、Copilot などでも同様に「数百件規模の未修正バグ」が積み上がっているとされています。
レガシーコードという巨大な負債
WindowsやOfficeは数十年にわたり開発が続く巨大プロジェクトです。古いコードが積み重なり、当時は問題なかった実装が現在の環境では脆弱性の温床になることもあります。
AIがコード全体をスキャンできるようになったことで、長年放置されてきた技術的負債が一気に表面化しているとも言えます。
Microsoftはどう動くのか
MicrosoftはProPublicaに対し、以下の対応を行い継続的に改善していくと回答しています。
- 脆弱性の優先順位付け(トリアージ)
- 人員配置
- 技術投資
- 開発プロセスの見直し
AIを使った脆弱性解析は、守る側だけの特権ではありません。悪意ある攻撃者が同様のツールを使えば、Microsoftが修正する前に脆弱性を発見する可能性もあります。AIがもたらす新しいセキュリティ環境に適応するため、Microsoftの体制強化が急務になっている状況です。
[via Neowin]
