「脆弱性の噂」だけで攻撃が成立する時代へ──AIが崩す秘密保持と、司令塔なしで新記録に届いたエージェント群

今週話題になったAI関連の話題は、派手な新モデル発表ではなく「前提が静かに壊れている」タイプの2本だった。ひとつは、脆弱性の“噂”レベルの情報だけで実際に動く攻撃が成立してしまうという現場からの報告。もうひとつは、中央の調整役を置かないAIエージェント集団が数学の未解決問題で新しい結果を出したという論文だ。どちらもAIエージェントを業務に組み込もうとしている読者にとって、設計と運用の考え方に直接効いてくる。

パッチの修正提案を出した10分後に、攻撃プローブが飛んできた

発端は、OCaml向けHTTPライブラリ「cohttp」6.3.0のパストラバーサル脆弱性の修正だった。パストラバーサルとは、URLに ../ のような遡り表現を混ぜてサーバ上の想定外のファイルを読み出す古典的な問題を指す（識別子はOSEC-2026-16）。メンテナが公開リポジトリに修正のプルリクエストを出したところ、およそ10分後には自分のWebサーバのログに、パーセントエンコードされた遡り文字列を狙う自動プローブが記録され始めたという。

これまでの脆弱性対応は、次の段取りを前提にしてきた。

• 非公開で修正する
• 関係者と日程を合わせて同時に公開する
• 利用者が更新する

修正差分そのものが攻撃のヒントになることは以前から知られていた。しかし、そこから実際に動く攻撃コードを組み立てるには人手と時間が必要で、その時間差が事実上の防御になっていた。著者は自身のエージェントを使って1分足らずで実証コードを用意できたと書いており、その時間差がほぼ消えつつあることを示している。

もうひとつ重いのが、記事が指摘する非対称性だ。安全対策の効いた商用モデルは攻撃コードの作成を断った一方、オープンウェイトのモデルは応じたとされる。ガードレールが結果として「ルールを守る防御側だけを不便にする」方向に働きかねない、という構図である。

「非公開にしておけば安全」という前提の賞味期限

記事は自分の体験だけでなく、周辺の数字も並べている。よく引かれるFangらの研究では、CVEの説明文を与えられたAIエージェントは対象の脆弱性の87%を突けたのに対し、説明文なしでは7%まで落ちた。裏を返せば「説明文さえ出回らなければ守れる」という発想だったわけだが、その差は今まさに縮んでいるというのが著者の見立てだ。

実際、Google Cloudの脅威インテリジェンスが示す「悪用までの平均日数」はマイナス7日、つまり修正が出るより前に攻撃が始まっている状態を意味する。個別の事例でも、悪用が観測されるまでの時間は次のように短い。

ボトルネックはすでに「攻撃側がコードを書く速さ」ではなく「防御側が修正を検証して出せる速さ」に移っている、というのが記事の核心だ。加えて、Anthropicがフロンティアモデルへのアクセスを提供する「Project Glasswing」は15か国150組織まで広がり、Linux Foundationのような団体も含むとされるが、個人に近い規模のOSSメンテナは対象外だと指摘する。攻撃側は安価なモデルを自由に使え、守る側の小規模プロジェクトは支援の枠外に置かれる、という非対称が残る。

著者の処方箋は、秘密保持に頼るのをやめる方向に寄っている。挙げられているのは次の3点だ。

• 信頼の輪（web-of-trust）にもとづく安全な議論基盤
• 週1〜2回といった高頻度の継続的リリース
• 正式パッチの検証中でも被害を止めるための、プロトコル層での「仮想パッチ」的な緩和策

日本企業の実務に落とすなら、OSS依存の棚卸しと更新の速度、そして修正が出るまでの間をどう凌ぐかの手順が、いよいよ「年次の課題」では間に合わなくなってきた、と読むべきだろう。

司令塔のいないAIエージェント集団が、数学で新記録を出した

もう1本は、Stephen Chung氏らが2026年8月に投稿したプレプリント「Autonomous Mathematical Discovery in an Open-World Multi-Agent Environment（開かれたマルチエージェント環境における自律的な数学的発見）」。提案されている「The Station」は、中央の調整役もスクリプト化された処理の流れも置かず、異なるモデルファミリー由来のAIエージェントが同じ研究目標を共有して動く“開かれた作業場”とされる。エージェントは自分で研究テーマを選び、実験を回し、他のエージェントの成果を参照しながら、共有の「文献」を積み上げていく。

評価対象はAlphaEvolveのカタログから取った12の構成問題と、追加の2ケーススタディ。論文で報告されている主な結果は以下のとおりだ。

数値的な構成だけでなく、その構成がなぜ成り立つのかを説明する定理や解析も併せて生成した点が強調されており、結果を人間が検証しやすいという主張だ。

注目したいのは中身の数学そのものより、設計思想のほうだ。近年の企業向けマルチエージェント構成は「オーケストレーターが役割を細かく定義して手順を回す」形が主流だが、この論文は逆に、共有された作業空間と目標だけを与えて放し飼いにするアプローチで成果が出たと報告している。しかも単一モデルではなく複数のモデルファミリーの混成だ。査読前のプレプリントであり、再現性や検証コストについては今後の議論を待つ必要があるが、「作り込んだパイプライン以外の選択肢がある」という示唆は、社内でエージェント基盤を設計する立場の人ほど無視しにくい。

まとめ

• 脆弱性は「非公開なら安全」という前提が崩れつつある。修正を公開した10分後に攻撃プローブが来た事例が示すのは、AIによって“ヒントから攻撃コードまで”の距離がほぼゼロになったということだ。
• 防御側のボトルネックは検証とリリースの速度に移った。OSS依存の更新頻度、緊急時の暫定緩和策、そして小規模メンテナへの支援の薄さが、企業のリスクにそのまま跳ね返る。
• マルチエージェントは「厳密に指揮する」以外の設計でも成果を出しうる。共有ゴールと作業空間を与えるだけの構成で、複数モデルの混成チームが数学の記録を更新したとする報告が出てきた。ただし査読前の主張である点は差し引いて読みたい。

直近のアクションとしては、自社が使っているOSSの更新導線が「勧告公開から24時間以内に動けるか」を一度測ってみるのが現実的だ。前述のとおり、9時間や20時間で悪用が始まった例がすでにある。

参考・出典

• https://anil.recoil.org/notes/rumour-is-the-exploit
• https://arxiv.org/abs/2608.23691
• https://arxiv.org/ （arXiv 公式サイト）
• https://www.anthropic.com/ （Anthropic 公式サイト）
• https://www.youtube.com/@anthropic-ai （Anthropic 公式YouTubeチャンネル）