何が起きたか
Epoch AIの分析によると、2026年6月にCVE（共通脆弱性識別子）として報告された高深刻度・重大クラスの脆弱性件数が突出しました。21組織から約1,500件が上がり、これまでの月間最多記録の3.5倍超という水準です。増加基調は2026年4月から始まっており、Epoch AIはこれを「AIによる発見の波」と位置づけています。
なぜAI起点なのか
時期的な符合は明確です。Anthropicは4月、脆弱性を自律的に発見できると謳う「Claude Mythos Preview」を公開しました。同社によれば、公開前から一部の信頼できるパートナーが本モデルを使いバグの検出と修正を進めていたとされます。加えて、Anthropicの「Glasswing」プログラムは、これまでに1万件超の高深刻度・重大脆弱性を掘り起こしたとされ、一部は未公表のままです。OpenAIの「Daybreak」プログラムも同種の押し上げ要因と見られています。
何が新しいのか
これまでの脆弱性発見は、専門リサーチャーの手作業に大きく依存してきました。今回の急増が示すのは、LLMが未知のバグを恒常的に、しかも人海戦術より速い速度で炙り出し始めたという状況の変化です。「攻撃側にも同じ道具がある」という前提で読むべきニュースであり、CVE数の急伸は防御側の可視化が進んだ結果であると同時に、パッチ適用の圧力が桁で増したことも意味します。
💼 事業会社視点：これは自社にどう効くか
日本のSaaS事業者、EC、受託開発を抱えるSIer、そして自社プロダクトを保有する事業会社にとって、これは「脆弱性報告のペースが桁で変わる」という前提の変化です。
第一に、パッチ運用が追いつかなくなります。月次のセキュリティレビューで済ませていた組織は、CVE公開から悪用までの窓が急速に縮む前提へ切り替える必要があります。役員は、SREやセキュリティ担当のヘッドカウントではなく、パッチ適用の自動化・依存ライブラリ棚卸しへの投資判断を下すべき局面です。
第二に、受託開発・SaaSベンダーは「AIで発見された既知脆弱性」への対応SLAを契約条項に織り込む議論を避けられません。顧客側からの問い合わせは今後急増します。
第三に、自社でもClaudeやOpenAIの同種機能を用いた社内コードベースの棚卸しを、外部発見される前に始める価値が上がりました。攻撃側の到達速度が上がる以上、「先に自分で見つける」ことが最良の防御になります。
