DeepSeek Harnessにおける認証不要のリモートコード実行脆弱性の開示は、CVSS 9.8と評価され、脆弱なHTTP Hostヘッダー検証に起因するものだが、単一のCVEとしてよりも、AIリスクがどこへ移行しているかを示すシグナルとして重要である。業界は2年間、モデルの振る舞い——ジェイルブレイク、プロンプトインジェクション、データ漏洩——に執着してきた一方で、実際にそれらのモデルを提供する退屈なインフラは高速で出荷され、緩慢に堅牢化されてきた。Hostヘッダー解析バグは数十年前から存在する脆弱性クラスである。最先端オープンモデルの配管にこれを発見することは、これらの提供スタックがスタートアップのスピードで構築され、エンタープライズ規模でデプロイされていることを物語る——攻撃者がよく理解しているギャップだ。

タイミングがリスクを悪化させている。概念実証コードがすでに公開され、研究者たちが別途、中国の脅威アクターがDeepSeekや他のオープンモデルを彼らのツールに組み込んでいると指摘する中、開示から大規模スキャンまでの時間は数時間に縮小する。オープンウェイトは真の戦略的利益だが、ほとんどの採用者が織り込んでいない運用コストを伴う:モデル、推論サーバー、そしてパッチライフサイクル全体を今や所有することになる。すべてのセルフホスト型デプロイメントは、他のインターネット公開アプリケーションと同様に防御すべきサービスだが、LLM提供と従来のアプリケーションセキュリティの両方を理解する人材プールは薄い。

日本市場にとって、これは構造的な弱点に直撃する。データレジデンシー規則、米国フロンティアAPIに対する調達上の慎重さ、そしてコスト圧力により、多くの企業や公共セクタープロジェクトは、実用的な中間路として、セルフホスト型オープンモデル、特にDeepSeekファミリーのウェイトへと押しやられている。この決定は、セキュリティの所有権をハイパースケーラーのSREチームから、AIスタックを継続的に露出する攻撃対象領域ではなくアプリケーション配信プロジェクトとして扱う可能性のある社内グループまたはSIerへと静かに移転させる。

ここで日本のSIerは露出と機会の両方に直面する。露出:PoC駆動のRCEは、PoC-to-productionスプリントで立ち上げられたパッチ未適用の推論エンドポイントがソフトターゲットとなり、GPU基盤のAIインフラに関するインシデント対応成熟度は従来のウェブシステムのそれに遠く及ばないことを意味する。機会:管理され、パッチが適用され、監視されたオープンモデルホスティング——真の脆弱性管理SLA、ネットワークセグメンテーション、そしてHostヘッダーレベルの入力検証が組み込まれたもの——を提供できるSIerは、恐怖を経常収益ラインに変換できる。RPAおよび社内自動化チームも注目すべきである。HTTP経由でセルフホスト型モデルを呼び出すエージェントは、そのトランスポート層のあらゆる欠陥を継承する。

経営幹部にとっての広範な教訓は、AI提供インフラを、資産台帳、パッチ適用頻度、脅威モデルの残りの部分と同じように組み込むことである。推論サーバーを本番インフラではなく研究成果物として扱うことが、ここでの実際の脆弱性である——CVEは単なる症状にすぎない。