何が起きたか
8月上旬、暗号学者のMatthew Green氏がX上のスレッドと長文のブログ記事を公開し、サイバーセキュリティ業界で急速に拡散しました。主張は直感に反するものです。「AIがソフトウェアを安全にしすぎることを懸念している」——LLMが脆弱性を大量かつ高速に発見できるようになれば、企業は前例のない量のバグを修正でき、その結果、法執行機関や情報機関が犯罪者を合法的にハッキングするための「入口」が枯渇する、というものです。
Green氏は現状を「不安定な休戦状態（an uneasy kind of truce）」と表現します。2014年、当時のFBI長官James Comey氏が広めた「going dark（暗闇に消える）」論以降、Signal・WhatsApp・AppleのiMessageがエンドツーエンド暗号化を大規模に展開し、通話やテキストのリアルタイム傍受はほぼ不可能になりました。Appleをはじめとする大手も端末データのデフォルト暗号化を進め、強固なPINやパスフレーズで保護されたiPhoneへの侵入は困難になりました。それでも各国政府はバックドアの法制化を強行せず、代わりにハッキングツールやスパイウェアの購入に予算を投じるという迂回路を選んだ——この均衡が、バグの供給に依存している、という指摘です。
なぜ重要か
論点は「AIがバグを見つけること」ではなく、「発見と修正のどちらが先に飽和するか」です。バグが希少財になった瞬間、政府はツール購入という迂回路を失い、再び立法によるバックドア要求に回帰する。Green氏の議論は、技術トレンドの話に見えて、実際には暗号政策の再交渉スケジュールの話です。
業界の見解は割れている
TechCrunchがプライバシー・セキュリティの専門家と、政府向けハッキングツール開発の経験を持つハッカーに取材したところ、評価は真っ二つでした。
賛成側では、政府向けにバグ発見とエクスプロイト開発を手がける著名2社に在籍した経験を持つLuna Tong氏が、現状を「今はバグのゴールドラッシュだが一時的な現象で、バグは再び希少になる」と表現しました。オフェンシブセキュリティ企業に10年以上在籍する匿名の研究者も、AIが人間の研究者を不要にし、最終的に防御側が優位に立つことを懸念しています。ゼロデイブローカーCrowdfenseのCTO Paolo Stagno氏は「どの国家も監視の可能性を捨てないのは明らかだ」としつつ、政府に脆弱性の悪用というコストを課す現行体制を「我々が持つ最も民主的なシステム」と評価します。バグ発見が困難になれば、この現状維持は続かないという立場です。
反対側も厚い。オフェンシブ業界の現役3名と元従事者1名は、簡単なバグは見つけやすくなるが、複雑で価値の高いバグは消えず、AIはむしろ政府にバグを売る研究者を支援すると反論しました。DarkCell創業者でAIセキュリティ企業Xbowにも参画するHamid Kashfi氏は「AIが発見し報告されたバグ1件につき、報告されないバグがおそらく20件ある」と述べています。ゼロデイ企業向けにバグを探す研究者2名は、AIよりも最新デバイスの新しい保護機構のほうが脅威だと語りました。
Electronic Frontier Foundationのサイバーセキュリティ部門ディレクターEva Galperin氏は、AIの発見能力と、AIツールを使った「vibe-code」開発が新たに生む脆弱性の両方によって、現時点では攻撃側が優位だと指摘します。さらに、バグが見つかっても修正が複雑で、十分な速度で——あるいはまったく——パッチが当たるとは限らない。それでもバックドア要求は再燃する、なぜなら権威主義体制は常に「例外的アクセス」を欲するからだ、と論じます。
Luta Security創業者兼CEOで、長年企業のバグ報告対応とパッチ適用を支援してきたKatie Moussouris氏は「最新のスマホやノートPCが完全にバグフリーになるまでには、まだ距離がある」と冷静です。ただし「いずれバグ発見が格段に難しくなる時点が来て、それがバックドア導入圧力の引き金になりうる」とし、時間軸としては「情報機関が実質的に支障をきたし、本気でバックドアを求めるまでには、少なくとも次の大統領選挙より後まで猶予がある」と見積もっています。
💼 事業会社視点：これは自社にどう効くか
日本企業にとって、この議論は「他国の暗号政策」ではなく調達仕様の前提の話です。SaaS・EC事業者が最も警戒すべきはGalperin氏の指摘、すなわち攻撃側の優位が「AIの発見能力 × vibe-code由来の新規脆弱性」という掛け算で生まれている点です。生成AIで開発速度を上げた事業は、同時に攻撃面も増やしています。CTO・開発責任者はまず、AIコーディング比率とセキュリティレビュー体制の乖離を数字で把握すべきです。
受託開発・SIerは商機と義務の両面があります。Kashfi氏の「報告1件に対し未報告20件」は、AIスキャナ導入で見つかるバグが氷山の一角であることを意味し、発見よりトリアージと修正の運用能力が差別化になります。Moussouris���が指摘するパッチ適用の難しさは、保守契約の設計そのものです。
経営レベルの判断は、法制リスクの時間軸です。米国でバックドア立法が動けば、SignalやiMessageに依存する社内コミュニケーション、暗号化を売りにするプロダクトの設計前提が揺らぎます。Moussouris氏の見立てでは猶予は次期米大統領選後まで。今すぐ製品を作り直す局面ではありませんが、暗号方式の交換可能性（クリプトアジリティ）と、データ所在地の選択肢を今期の設計要件に入れておく価値はあります。