Microsoftは、AI駆動型のコード分析によってWindowsでより多くの欠陥が表面化し、セキュリティアップデートの流れがより重くなることを示唆している。見出しは警告として読めるが、真の物語はソフトウェアリスクが製造され管理される方法における構造的シフトである。

10年間、脆弱性開示は人間の研究者の帯域幅によって絞られていた。AIはその上限を取り除く。ファジング、静的解析、LLM支援型コードレビューは、現在数十億行のコードを継続的にスキャンできるため、発見率は人員数から切り離されつつある。今後24か月で主要ベンダー全体のCVE件数が急激に上昇することが予想される。これはMicrosoftの現象ではない。GoogleのOSS-Fuzzはすでに数千のオープンソースバグをAI経由でフラグ付けしており、すべての大規模コードベース所有者が同じ計算式に直面している。ボトルネックは欠陥を見つけることから、優先順位付けと修正の出荷へと移行する。

重要な非対称性は、攻撃者も同じツールを手に入れることだ。防御側と攻撃側の両方が発見をスケールさせるなら、決定的な変数はパッチ速度と展開の信頼性になる。修正を自動生成、検証、ステージングできるベンダーは露出期間を圧縮する。手動パイプラインに依存するベンダーは溺れることになる。これは成熟したCI/CDとテレメトリーを持つプラットフォーム企業(Microsoft、Google、AWS)に有利に働き、そのペースに追いつけない小規模ISVやレガシー企業ソフトウェアに圧力をかける。

運用リスクは顧客に降りかかる。パッチが増えれば、パッチ疲労、Patch Tuesdayの混乱が増加し、リグレッション起因の停止の確率が高まる。CrowdStrikeの教訓はまだ記憶に新しい。CISOは、トリアージ自体が自動化されない限り、チームが圧倒されることを予期すべきだ。機会は新しいツール層にある。到達可能性分析とエクスプロイト予測スコアリング(EPSS形式)により、月間200件のCVEのうちどれが実際に重要かをチームに伝える。Tenable、Wiz、そしてAI駆動型脆弱性管理のスタートアップなどのベンダーが予算を獲得する立場にある。

推奨アクション:企業は今すぐ自動パッチテストとカナリア展開に投資し、サプライヤーにSBOM透明性とAI発見開示を要求すべきだ。投資家は、急速にコモディティ化している検出ではなく、到達可能性と修復セグメントに注目すべきだ。取締役会は、CVE件数の増加を危険信号ではなく成熟のシグナルとして扱うべきだ。沈黙はますます安全ではなく盲目を意味する。