全世界のサイトを震撼させた「ホワイトハッカーVSブラックハッカー」大バトルの先にある「最悪のシナリオ」

2026年10月22日 20:30

　世界の全ウェブサイトの約７割が使用しているプログラミング言語「PHP」。利用者の操作に応じて情報を探し、処理をするためのものだ。これに２つの脆弱性が発見された一件は、世界中を震撼させた。

　PHP開発チームは10月21日、脆弱性を修正するパッチを公開し、利用者に直ちにアップデートするよう呼びかけたが、専門家の間からは「いよいよ攻撃側とのいたちごっこが極限まで加速する可能性が高まった」との声が噴出している。
　というのも、今回の問題には単にPHPに重大な脆弱性が見つかったことではなく、それを発見するスピードとコストの桁が、とてつもなく大きく変化したことが本質にあるからだ。

　ITジャーナリストが説明する。
「これまでセキュリティー研究者やハッカーは時間をかけてコードを目視、検証し、数カ月から数年かけてゼロデイと呼ばれる『未知の穴』を探し出していました。ところが最新AIの登場で、数百万から数億行のコードから数秒、あるいは数分足らずで、未知の脆弱性を発見することが可能になった。ただ、AIが１時間で100個の未知の脆弱性を見つけ出せたとしても、そのコードを検証し、修正パッチを作り、安全テストを経てリリースするのは我々人間。つまり、発見するAIのスピードに対し、修正する人間のそれが物理的に追いつかない状況が生まれているわけです。そんな構造的ギャップが攻撃側に俄然、有利に働いています」

　ただ、防御側のホワイトハッカーが、ただ手をこまねいているはずもなく、ブラックハッカーのAIがアップデートすれば、それに対抗すべく防御側もアップデートを繰り返し、水面下ではその究極のいたちごっこが、猛烈なスピードでエスカレートしている。

攻撃側AIが「どこを直したか」を逆算して再攻撃プログラムを自動生成

　ITジャーナリストが続ける。
「PHPの脆弱性問題では研究者の努力により、１週間で修正パッチが完成しましたが、今後ブラックハッカー側のAIが進化すれば、修正パッチが公開された瞬間、攻撃側のAIが『どこを直したか』を逆算し、修正前のバージョンを攻撃するプログラムを自動生成してくるかもしれない。となれば、人間の手でアップデートされる前に攻撃が届く可能性は極めて高くなるでしょう」

　標的となったPHPはプログラミング言語だったが、ウェブの世界では他にもHTML（骨組み）や、CSS（見た目、デザイン）、JavaScript（動き、手元のプログラム）等々、絶対に欠かせない基本要素がある。
　もしも攻撃側がその脆弱性に狙いを定め、防御側のAIが毎日、数十件レベルでそれを感知した場合、運用現場は日々、アップデート作業に追われることに。当然ながら、修正できずに不全状態に陥る企業が出てくることもあるだろう。

　大企業や資金のある組織であれば多額のコストを払い、AIが脆弱性を24時間、監視・自動隔離するセキュリティー運用は可能。しかし中小企業では、それもままならない。
　このままブラックハッカーとのいたちごっこが続けば、その先にあるのはシステム設計そのものの根本的な転換という最悪のシナリオ。誰でも自前で自由にウェブサイトを構築、運用できる現代。今、そんな時代が終わりを迎える危機に瀕している。

（灯倫太郎）

カテゴリー: