AIを活用した脆弱性探索の時代にリスクスコアリングが重要な理由

F5 ADSP | 2026年6月09日

はるか昔のことのように思えますが、かつてセキュリティチームは、攻撃者がアプリケーションを手作業で調べ、悪用できる脆弱性を見つけ出すことを懸念していました。

わずか数か月で、脆弱性を悪用する手法としては、そのプロセスが今や古風にすら思えませんか？

フロンティアAIモデルやClaude Mythosのようなプロジェクトがアプリケーションコードやオープンソースエコシステムに適用されるようになり、脆弱性の発見はごく短期間で飛躍的に高速化し、事実上無限に拡張可能となり、コストも大幅に低下しました。そして、発見された脆弱性が悪用される可能性についても同様です。

“チームは、正当なトラフィックを妨げることなく、真に悪意のある挙動を標的とする動的な脅威評価を活用できます。”

1人の研究者がバグを発見する従来の方法とは異なり、AIはリポジトリを迅速に分析して安全でないパターンを特定し、エクスプロイト経路の生成を支援します。その結果、より多くの脆弱性が早期に発見され、より短期間で攻撃に悪用されるという新たな現実が生まれています。

WebアプリとAPI、そしてそれらを開発・利用する世界中の数百万もの組織にとって、問うべきは、「エクスプロイトの試みは発生するのか」ではなく、今や、「最も重大なエクスプロイトはどれか、そして阻止すべきエクスプロイトを間に合うように阻止できるか」

課題：エクスプロイトが加速する中、WAFのノイズに埋もれる

Webアプリケーションファイアウォール（WAF）は、一般的な攻撃をブロックするための重要な制御手段です。しかし、従来のWAFでは、アプリケーションやAPIへのアクセスを許可するか拒否するかという大まかな判断を迫られることが少なくありません。その結果、誤検知や優先度の低いイベントを含む大量のアラートが発生し、セキュリティチームは負担が大きく時間のかかる対応を繰り返すことになります。正当なトラフィックを止めずにノイズを減らすには、専門家による手動（つまり時間のかかる）チューニングが必要ですが、その専門家は不足しており、スキルと知識のギャップは拡大しています。

その間も、バックログが山積みだからといって、AIを利用する攻撃者が手を緩めることはありません。むしろ、SecOpsチームが過重な負担を抱え、対応能力を超える業務に追われ、場合によっては疲弊しきっている状況を見越して攻撃を仕掛けてきます。

「アラート」から「優先事項」への移行

このため、リスクスコアリングが不可欠になっています。

現在のようにWAFからのすべてのシグナルを同等に重視すると、アラートが過剰に生成され、すでに多忙なチームにアラート疲れをもたらします。また、誤検知も多発し、アプリケーションのユーザーにストレスを与える可能性があります。

SecOpsチームは、強固な保護を維持しながら誤検知を最小限に抑えるため、WAFシグネチャを継続的に調整するという難しいバランスを常に求められています。WAFの手動チューニングは複雑で、多くの場合、すでに過負荷の状態にあるセキュリティ、開発、運用の各チーム間で、時間のかかる調整が必要です。スピード、精度、チーム間の作業負担を考慮して判断しなければならない場合、修復が遅れ、脅威にさらされた状態が続きます。だからこそ、AIを活用した、より高度なWAF機能が、これまで以上に必要かつ重要になっています。

すべてのWAFシグナルを同等に扱うのではなく、リスクベースのモデルによって、真に重要な運用上の問いに答えられるようになります。それは、「リスクを最大限に低減するには、何に最初に対処すべきか？」」

アプリケーション向けのリスクベースモデルは、複雑なセキュリティデータを解釈し、多数のシグナルや入力情報を活用して定量化可能な指標に変換したリスクスコアを提供します。リスクスコアリングでは、脆弱性の悪用可能性、ビジネス上の重要度、データの機密性を評価します。このようなコンテキストをアプリケーションの脆弱性に適用することで、パッチ適用の優先順位付けを最新化・簡素化し、リソースを効率的に配分できるようにするとともに、急速に縮まりつつある技術的リスクとビジネスへの影響の隔たりを埋めます。

脆弱性リスクを評価することで、最も緊急かつ重大な脅威を特定し、アラート疲れの防止に役立ちます。これにより、セキュリティチームは、組織とそのユーザーに最大の損害をもたらす可能性がある脆弱性にパッチまたは仮想パッチを適用できます。リスクスコアリングは、保護対策に必要なコンテキストと優先順位を提供するとともに、リスクベースのセキュリティアプローチを示すエビデンスの標準化を支援し、コンプライアンス規制への対応を簡素化します。

F5 AI-powered WAF

今年初めに公開したブログ「複雑さを伴わずにWebアプリを保護：F5のAI搭載WAFがWAFセキュリティを変革する仕組み」では、F5 Distributed Cloud WAFに搭載されたAI活用型WAF機能が、誤検知を減らしながらセキュリティを強化し、SecOpsチームによる継続的な手動チューニングの負担を軽減することで、Webアプリ保護を大きく前進させたことをご紹介しました。AI活用型WAFは、アプリケーションセキュリティに関する意思決定のあり方を変え、構成作業の多いルール管理から、成果重視のセキュリティへとチームの移行を促します。

数百、数千ものシグネチャを延々と調整する代わりに、正規のトラフィックを妨げることなく、真に悪意のある挙動を標的とする動的な脅威評価を活用できます。その結果、実際のユーザーに影響を及ぼすリスクを大幅に抑えながら、より迅速にブロッキングモードへ移行し、即座に保護を得られます。

Distributed Cloud WAFのAIを活用した機能により、脅威の深刻度を定量化する、直感的で単一の数値スコアを割り当てられるようになりました。これは、多くのセキュリティチームがすでに使用している「リスク = 発生可能性 × 影響度」という式を、チームが即座にトリアージできる単一の数値スコアとして運用可能にしたものです。

この数値スコアは、セキュリティイベントが正常なトラフィックや誤検知ではなく、実際の攻撃である確率を測定するLikelihood Scoreで構成されます。

また、発生する可能性が高いセキュリティイベントが攻撃として成功した場合に、状況がどの程度重大になるかを定量化する影響スコアも含まれます。このスコアでは、機密性、完全性、可用性など、現実に生じる影響に即した指標に加え、Exploit Prediction Scoring System（EPSS）やExploit Code Maturityなどのシグナルを使用します。

AIを利用した脆弱性悪用への対策で重要な理由

AIツールによって脆弱性調査が拡大するにつれ、スキャンや探索行為、さらには「攻撃に近い行為」が増加します。問題は、本来なら実際の脅威への対処に充てるべき限られた時間を、誤ったセキュリティイベントの追跡に費やしてしまうことです。その結果、誤った方向に注意を向け続けて疲弊した担当者の監視を、影響の大きいエクスプロイトがすり抜けるおそれがあります。

リスクスコアリングは、次のことに役立ちます。

アラート疲れを軽減し、チームが真に危険なものに集中できるようにします。
潜在的な脅威を調査、ブロック、または無視するかどうかを、より迅速かつ確信を持って判断できます。
際限なくルールを微調整する代わりに定量的なシグナルを活用することで、手動調整を減らし、すでに業務過多と人員不足に直面しているセキュリティチームの貴重な時間を節約できます。
少人数のSecOpsチームでも効果的に運用できるようにし、新任担当者が属人的な知識ではなく、明確なスコアに基づいて対応できるようにします。

要点

フロンティアAIにより、「脆弱性が存在する」状態から「実環境で悪用される」までの期間が短縮されています。このような環境では、セキュリティ対応を優先度の付いていないアラートの山にしておくことはできません。リスクスコアリングはWAFのノイズを整理して状況を明確にし、実際の脅威に優先的に対処して、脆弱性の悪用がインシデントに発展する前に阻止できるよう支援します。

詳細については、プレスリリースおよびF5 WAF solutionsの製品ページをご覧ください。

無料トライアルをお申し込みいただくか、今すぐ専門家にご相談ください