Googleは、AIツールの活用により過去2年間を合わせた数よりも多くのChromeの脆弱性を1カ月で修正したと発表しており、BleepingComputerは最近の成果を2つのリリースで合計1,072件のセキュリティバグと報じている。TechCrunchはこれをMicrosoftですでに顕在化しているより広範なパターンの一部として位置づけている。両報道は中核となる事実では一致しているが、強調点は異なる。TechCrunchはこれを2年間にわたる専門家の警告の裏付けと解釈し、BleepingComputerは発見と修復の生のスループットに焦点を当てている。真の物語は両者の下に潜んでいる――ソフトウェアの欠陥を発見する限界費用が崩壊しつつあるのだ。

この10年間、脆弱性研究は希少な人的専門知識によって制約されてきた。LLM支援ファジングとコード分析がその制約を打破し、戦略的な影響は両面に及ぶ。潤沢な資金と大規模なコードベースを持つ防御側――Google、Microsoft、Apple、主要クラウドプロバイダー――は構造的優位性を獲得し、攻撃者が欠陥を武器化するよりも速く主力製品を強化できる。しかし同じツールは敵対者も利用可能であり、開示から悪用までの時間が圧縮される。業界全体でCVEの件数増加が予想されるが、これはソフトウェアが悪化しているからではなく、検出が安価になっているからだ。

不都合な意味合いは、セキュリティ格差の拡大である。資金力のあるベンダーは継続的なAI駆動の監査を実行できるが、中小規模のISV、オープンソースメンテナー、レガシーコードを抱える企業は、同じ能力を大規模に展開する余裕がないために脆弱性にさらされる。これは調達を再構築する。セキュリティ態勢はAIバグ発見パイプラインに資金を投入できるかの関数となり、購買者はベンダーにパッチ適用の速さだけでなく、自動発見をどう活用しているかを尋ね始めるべきだ。

CISOとCTOにとって、行動項目は具体的だ。パッチサイクルが加速することを前提とし、本番環境を破壊せずにそれを吸収できるよう更新とテストのパイプラインを再設計する。上流の修正を待つのではなく、AI支援SAST/DASTとファジングに社内で予算を配分する。そしてCVE件数のインフレをシグナル処理の問題として扱う――優先順位付けと悪用可能性スコアリングが生の件数よりも重要だ。

投資家にとって、勝者はAI発見を実用化するセキュリティツール企業(次世代アプリケーションセキュリティと継続的テストベンダーを想定)と、プラットフォームの信頼性が深まるハイパースケーラーだ。リスクは自己満足である。1,072件のパッチ適用というヘッドライン数字は能力を示すものであり、安全性を示すものではない。検出速度をより速く、より安全な展開に変換する企業――単により大きなパッチノートだけでなく――が物語を支配するだろう。