パッチ適用だけでは、もはや間に合いません。次に備えるF5の設計思想をご紹介します。

Kunal Anand最高製品責任者 | F5

FFmpegには、自動ファザーが約500万回実行したコード行があります。その行には16年前からバグが潜んでいましたが、見過ごされ、何も検出しませんでした。その後、Anthropicが新しいClaude Mythos Previewモデルにこのコードベースを解析させたところ、モデルはコードを読み、その意図を推論して欠陥を発見しました。さらに、主要なすべてのオペレーティングシステムとブラウザで、これまで知られていなかった数千件もの脆弱性も発見しました。そのうちOpenBSDの脆弱性は、27年前から存在していました。OpenAIなども同等の機能を開発しています。

これは、単一ベンダーだけの動きではありません。

ソフトウェアセキュリティの力学が変わった瞬間です。

重要な数理

Sergej Epp氏の「Zero Day Clock」は、CISA KEV、VulnCheck KEV、XDBから得た3,515組のCVEとエクスプロイトのペアに基づき、実態を4つの数字で示しています。

1. 2018年には、脆弱性の公開からエクスプロイトが初めて観測されるまでの期間の中央値は771日でした。組織には、パッチを適用するまでに2年以上の猶予がありました。
2. 2023年には、その猶予期間は6日まで短縮されました。
3. 2024年には、4時間にまで短縮されました。
4. 2025年には、悪用された脆弱性の多くが、一般公開される前に攻撃手段として利用可能な状態になっていました。

一方、平均的な組織では、パッチのテストと適用に依然として20日を要しています。多くの組織が1か月に修正できるのは、新たな脆弱性の約10%にすぎません。パッチ適用を迅速化するだけでは、このギャップは埋められません。四半期ごとでも、毎月でも、現実的には毎週でも不十分です。

その計算では、つじつまが合いません。

AIが攻撃側を有利にする理由

AIが防御よりも攻撃を速く加速させる背景には、より根本的な理由があります。すべてのセキュリティリーダーが、その理由を理解しておく必要があります。

攻撃側には、サイバーセキュリティ分野で最も低コストな検証手段があります。エクスプロイトは成功したか。その答えは二者択一で、即座に判明します。シェルを奪取できたか、できなかったかです。機械学習は、この種のシグナルを基に効果を積み重ねていきます。

防御側は正反対の問題を抱えています。このアラートは本物なのか。このシステムはセキュアなのか。フィードバックは曖昧で、遅く、コストもかかります。シグナルにはノイズが多く、フィードバックループは機能しません。AIは明確な検証手段がある側でより効果を発揮します。そのため、AIを活用したエクスプロイトは、AIを活用した防御よりも速く産業化しています。

これが、Mythosの数値の背後にある構造的な実態です。Anthropicが兵器を開発したわけではありません。汎用フロンティアモデルのコード読解能力が十分に向上した結果、検証の非対称性が攻撃者側にさらに傾いただけです。

フロンティアモデルを開発するすべての研究所が、このしきい値を超えることになります。現在の能力曲線を踏まえると、私の予測では（あくまで推測ですが、私が計画の前提としているものです）、今後12か月以内に、Mythosクラスのコード推論能力を備え、GPUさえあれば誰でも監視なしでローカル実行できるオープンソースモデルが登場します。

変えるべきこと

すべてのソフトウェアベンダーと企業のセキュリティチームは、このタイムラインを軸に計画を立てる必要があります。では、何を変える必要があるのでしょうか。

コードテストのあり方： 静的解析と定期的なペネトレーションテストは、脆弱性の発見に時間とコストがかかっていた時代を前提に構築されたものです。しかし、その時代は終わりました。テストは継続的かつAI主導で、推論に基づくものへと変わらなければなりません。モデルには、実行パスを追跡し、フローを連鎖させ、個別のバグだけでなくエクスプロイトチェーンを特定することが求められます。パターンマッチングは最低限の要件にすぎません。基準となるのは推論です。

コード開発のあり方： セキュリティをパイプラインの最後に設けるゲートのままにしておくことはできません。セキュリティをコーディングの段階に組み込み、AI支援ツールによって、リスクのある構造をコミット前に検出する必要があります。

コードの配布方法： 脆弱性情報の開示時期、更新頻度、フリート管理の手法は、いずれも変化がより緩やかな時代に合わせて調整されていました。あらゆるソフトウェアベンダーは、アドバイザリの公開より先にエクスプロイトが登場する世界で、現在のプロセスが通用するのかを率直に問い直す必要があります。

これは、まだ出荷していないコードに当てはまります。同様に難しいのは、すでに本番環境で稼働しているコードにどう対処するかという問題です。真の変革はここから始まります。そして、F5はこの変革をリードするために構築されています。

答えはランタイムにある

パッチ適用期間が終了しても、トラフィックパスは残ります。これは代替策ではありません。新たな考え方では、これが主要な制御手段となります。

ランタイム保護は、検証の非対称性を逆転させます。コードベースのどこかに仮想的な欠陥が存在するかを問うのではなく、ランタイムがアプリケーションの動作を監視し、意図した動作から逸脱した場合に介入します。シグナルは具体的で、フィードバックも明確です。攻撃者がコード内に1,000件のゼロデイ脆弱性を発見したとしても、エクスプロイトがデータパスを通過できなければ、そのバグが侵害につながることはありません。

F5は30年にわたり、データパスを支えてきました。F5 BIG-IP、F5 NGINX、そしてF5 Distributed Cloud Services、すなわちF5 Application Delivery and Security Platformは、まさにこのレイヤーのために構築されました。コードへのパッチ適用が追いつかない時代において、トラフィックが流れる場所でアプリケーションを防御するというF5のアーキテクチャ上の判断が、何よりも重要です。現在F5がAIトラフィック管理とランタイムセキュリティで進めているあらゆる取り組みは、この同じ判断を、お客さまが現在構築しているワークロードへと拡張するものです。

自社コードに対する取り組み

また、もう一方の側でも取り組みを進めています。運用上の取り組みの一環として、最先端のAIモデルを自社のコードベースに対して実行しています。

モデルはソースコードを直接読み取り、モジュールや言語をまたぐリスクのあるフローを追跡し、実際の実装の詳細に基づいて推論します。2回目の検証で、有用なシグナルとノイズを切り分けます。検出結果は、CWEマッピング、深刻度評価、ファイルおよび行の参照情報、悪用可能性に関するコンテキストに基づいて分類され、優先順位を付けた修正プロセスに直接送られます。

目指すのは、個々のバグを見つけることではありません。エクスプロイトチェーンを明らかにし、重要な問題に優先順位を付け、検出結果をコードの堅牢化につなげることです。サイクルを重ねるたびにナレッジベースが蓄積され、次のサイクルをより迅速かつ高精度に実行できるようになります。最先端モデルの性能向上に合わせて、その活用方法も高度化します。攻撃者も最新のツールやモデルを利用するからこそ、F5のコードベースも常に、その時点で最も優れたツールとモデルを用いてテストします。

コストと、その負担者

これがお客さまにとって何を意味するのか、率直にお伝えします。

開示される脆弱性が増えることは、ソフトウェアが弱くなったことを意味するのではなく、プロセスが強化されたことの表れです。攻撃者より先に欠陥を発見して修正するたびに、本番環境での露出が1つ減ります。しかし、修正のたびに、誰かがパッチを適用しなければなりません。本番環境でBIG-IPを運用する担当者が対応するパッチは増えるため、これまで四半期ごとだった更新サイクルをそのまま続けることはできません。F5は、発見、修正、検証、そしてお客さまによる導入までの一連のサイクルを短縮するため、F5 Insightとフリート管理に投資しています。また、導入に時間がかかる場合でも、コードの対応が完了するまで、トラフィックパスがアプリケーションを保護し続けます。

最後の節に、議論全体の要点が凝縮されています。

1. 攻撃者に悪用される前に、より迅速に発見する。
2. エクスプロイトが攻撃に悪用される前に修正。
3. コードの修正が追いつくまで、ランタイムで保護します。

3つの分野は、連携して初めて機能します。どれか1つだけでは機能しません。

新たな常識

今後、ソフトウェアセキュリティはこのように運用されます。これは一時的なキャンペーンでも、単一のモデルリリースへの対応でもありません。パッチ適用の猶予期間はすでに終わり、再び設けられることはありません。

これを一時的に乗り切ればよい局面と捉える企業もあるでしょう。しかし、これを新たな常態として受け入れ、コード層とトラフィック層で継続的に再構築していく企業だけが成長できます。

F5は、この新たな常態に対応するための取り組みを進めています。お客さまも同様です。この重要な取り組みを、ともに進めていきます。

著者について

Kunal Anand最高製品責任者 | F5

Kunal Anandは、最高製品責任者としてF5の製品部門を率いています。製品のビジョン、戦略、実行を統括し、重要な課題を解決して優れた顧客体験を生み出す画期的なソリューションの開発を推進しています。前職の最高技術・AI責任者としては、F5のテクノロジーおよびAIに関する戦略とビジョンを策定しました。 F5入社以前は、Impervaで最高技術責任者と最高情報セキュリティ責任者を兼任していました。2013年に共同創業したアプリケーションセキュリティのスタートアップPrevotyが2018年に買収されたことを機に、Impervaに加わりました。Prevoty以前は、BBC Worldwideでテクノロジーディレクターを務めました。イノベーションと技術分野で豊富な実績と専門知識を有し、Gravity、MySpace、NASA Jet Propulsion Labでは、セキュリティ、データ、テクノロジー、エンジニアリングの各チームを率いる役職を歴任しました。 AIと機械学習の分野で15年以上の経験を持ち、モデルのトレーニング、AIを活用したアルゴリズムによる製品強化、AIアーキテクチャの設計と実装に携わってきました。 Babson Collegeでコンピューターサイエンスの理学士号を取得しています。

Kunal Anandのその他のブログ記事