「悪用不可能」なバグはあといくつある？AIが書き換えるレガシーコードのセキュリティ常識

「悪用不可能」という安全神話の崩壊

ITエンジニアやセキュリティ担当者の皆さん、こんな言葉を耳にしたことはありませんか？

「この脆弱性は複雑すぎるし、悪用するためのコストが見合わないから、現実的には放置しても大丈夫」

これまで、ソフトウェアのバグや脆弱性には『悪用不可能（Unexploitable）』というカテゴリが存在していました。発見はされているけれど、それを突いて攻撃を成功させるには多大な労力や高度な専門知識が必要で、ハッカーにとっても割に合わない――。そんな「安全神話」が、私たちのシステムを守る最後の砦のような役割を果たしていたのです。

しかし、今この前提が根底から覆されようとしています。生成AIの急速な進化が、その「コスト」という壁をいとも簡単に取り払ってしまったからです。

10年放置されたバグが、わずか1週間で武器に

この状況を如実に物語るのが、最近公開された『PHP2Shell』の事例です。セキュリティ企業Wizが公開したこの脆弱性は、なんと10年以上もPHPのコードベースに眠っていました。

これまで誰も見向きもしなかった、あるいは「攻撃には使えない」と判断されていたこのバグを、研究者グループはAI（GeminiやGPTモデルなど）の支援を活用して、わずか1週間で発見し、実際に動作するエクスプロイト（攻撃コード）の開発まで成功させてしまいました。

これは単なる技術的なニュースではありません。AIという強力な助手を得たことで、これまで「人間には難しすぎる」とされていた作業が、誰にでも短時間で実行可能になったことを意味しています。VulnCheckなどのレポートによれば、実際に野良で悪用される脆弱性は全体の1%未満とされていますが、今後はAIによるPoC（概念実証）の自動生成により、この「1%」の壁が急速に崩れていく可能性が高いのです。

なぜ「コスト」の概念が変わるのか？

専門家たちの間でも、この変化は非常に深刻に受け止められています。これまでハッカーが攻撃を躊躇していた理由は、主に「経済合理性」でした。しかし、AIを活用することで、攻撃に必要なリサーチやコード生成のコストが劇的に低下しています。

防御側がパッチを当ててシステムを守るまでの時間よりも、攻撃側がAIを使って脆弱性を突き止めるスピードの方が速い――。そんな「イタチごっこ」が、数ヶ月単位から数時間単位へと加速しているのです。Redditなどのコミュニティでも、「過去30年分ものレガシーコードが、AIという新しいレンズを通して見直された時、どれほどの脅威が顕在化するのか」という不安の声が広がっています。

レガシーシステムを抱える私たちが今すぐやるべきこと

では、開発者やIT管理者はこの「AI時代の脅威」に対してどう立ち向かえばよいのでしょうか？ 全ての古いコードを書き直すことは現実的ではありません。そこで重要になるのが、リスクの優先順位付けと防御の多層化です。

1. 優先順位の再定義

「古いコードだから大丈夫」という考えは捨てましょう。公開されているシステムや、外部とのインターフェースを持っている部分など、攻撃者に狙われやすいポイントを洗い出し、ビジネスへの影響度が高い箇所から徹底的に監査を行う必要があります。

2. AIを活用した防御の強化

攻撃者がAIを使うなら、防御側もAIを活用すべきです。最新の脆弱性スキャンツールや、AIを活用したコード解析ツールを導入し、人間が見落としていた潜在的なバグを早期に発見する体制を整えましょう。AIによるコードレビューや、自動化されたセキュリティテストは、もはや贅沢品ではなく必須の装備になりつつあります。

3. 「パッチ適用」の自動化・迅速化

脆弱性が公開されてから悪用されるまでの時間が短縮されている以上、パッチ適用に数週間かける余裕はありません。CI/CDパイプラインにセキュリティスキャンを組み込み、重大な脆弱性が見つかった際に即座にアップデートできる体制を構築することが、これまで以上に求められています。

最後に：終わりのない戦いに備える

AIは、私たちの生産性を劇的に向上させる素晴らしいツールですが、同時にサイバー攻撃のハードルをも下げてしまいました。「悪用不可能」という言葉は、もはや過去の遺物になりつつあります。

今、この瞬間も、あなたの使っている古いライブラリやコードベースに、AIによって「武器」に変換されようとしているバグが眠っているかもしれません。まずは、自社のシステム構成を再確認し、依存関係を棚卸しすることから始めてみませんか？それが、この激動のセキュリティ時代を生き抜くための、最初の一歩になるはずです。