AIサプライヤーの3社に1社で未修正の重大な脆弱性、Black Kiteが発見

Black Kiteが実施した新たな調査によると、AI企業の3分の1以上で、インターネットに公開されたシステムに重大な未修正の脆弱性が存在する。今回の調査結果は、モデルやアプリケーション、統合機能が機密性の高い企業データに接続する機会を増やしているベンダーのセキュリティ上の弱点を浮き彫りにした。

Black Kiteが11月10日に公表した報告書は、世界中のAI企業1万8160社を評価し、その34.2%で重大な脆弱性を特定した。さらに9.8%には、実際の攻撃で悪用された欠陥を追跡するCISAの既知の悪用脆弱性（KEV）カタログに掲載された脆弱性が少なくとも1件あった。

この調査では、メール認証、漏洩した認証情報、共有AIインフラの弱点も明らかになった。サードパーティーのAIサービスに依存する組織にとって、これらの調査結果は、ベンダーを評価し業務システムへのアクセスを管理する際に、追加の検討事項をもたらす。

AIサプライヤーに広がるセキュリティ上のギャップをBlack Kiteが発見

2026年AIサプライチェーンレポートは、AI製品を開発、導入、サポートする企業の外部から観測可能なセキュリティ状況を調査した。

調査結果からは、いくつかの懸念領域が明らかになった。

研究者は、インターネットに公開されたソフトウェアやデバイスのバージョンを、公開済みの重大度「重大」のCVEと照合することで、重大な脆弱性を特定した。

Black Kite独自のランサムウェア感染リスク指数では、29.7%の企業が重大リスクのしきい値以上に分類された。一方、評価対象となったサプライヤーの44.3%で異常なネットワーク活動が確認された。

規模の大きいAI企業ほど、さらされるリスクが大きかった。従業員数が50人を超えるサプライヤーでは58%に重大な未修正の脆弱性があったのに対し、全サンプルでは34.2%だった。

Forbes AI 50を対象とした別の評価では、52%の企業で重大な未修正の脆弱性が確認された。

大規模なAI企業は通常、インターネットに公開されたシステムをより多く運用しているため、侵入口となり得る箇所が増え、セキュリティチームが維持すべきインフラも拡大する。

共有AIツールが新たなリスクを生む

Black Kiteは、広く使われている次の3つのAIツールに関連する脆弱性が確認された企業を105社特定した。

• n8n：93社でCVE-2025-68613への露出が確認された。これは、CISAのKEVカタログに掲載されたリモートコード実行の脆弱性だ。
• Langflow：5社で関連する調査結果が見つかり、そのうち4社はKEVに掲載された2件の脆弱性に関連していた。
• LiteLLM：7社でAIモデルゲートウェイに関する調査結果が確認された。

これらのツールは、AIアプリケーションをデータベースや外部サービス、自動化されたワークフローに接続するのに役立つ。こうした接続の脆弱性によって認証情報が露出したり、攻撃者に不正なコマンドを実行する機会を与えたりする可能性がある。

過去のLiteLLMとMCPサーバーに対する攻撃は、AIインフラが侵害された場合のセキュリティリスクを実証している。

Black Kiteは、公開状態にあるModel Context Protocol（MCP）コンポーネントも調査し、1732件のセキュリティ上の調査結果を特定した。そのうち48.8%近くが高または重大と評価された。

重大とされたMCPの調査結果77件のうち87%は、コードまたはコマンドインジェクションに関するものだった。これにより、攻撃者が接続されたシステムに干渉する経路が生じる可能性がある。

共有インフラにこうした脆弱性が集中していることは、共通コンポーネント上に構築された複数のAIサービスに依存する企業に、さらなる課題を突き付ける。

セキュリティチームがAIサプライヤーを評価する方法

企業がAIサービスの利用を拡大し、自動化システムに社内アプリケーションへのアクセスを付与する中、今回の調査結果は、サードパーティーのセキュリティ評価を急ぐ必要性を浮き彫りにしている。

セキュリティチームは、既存のベンダーリスク管理プロセスにAI固有の依存関係と権限を組み込むことで、リスクを低減できる。

主な対策は次のとおりだ。

1. 悪用された脆弱性を優先する。サプライヤーをCISAのKEVカタログと照合し、修正のタイムラインを求め、重大な修正が適用済みであることを確認する。最近のAIインフラに影響するCISAの追加情報は、現在悪用されている欠陥への対応の必要性を改めて示している。
2. 認証情報の漏洩を調査する。サプライヤーに対し、侵害された認証情報の無効化、影響を受けたセッションの終了、不正アクセスの調査を求める。
3. ソフトウェアの依存関係を把握する。ベンダーが依存するAIゲートウェイ、ワークフローツール、オープンソースライブラリ、外部モデルを特定する。
4. 統合機能を制限する。AIアプリケーションが必要とする権限と業務システムだけにアクセスを限定し、必要に応じてアクセスを取り消す手順を確立する。
5. ベンダーのセキュリティを継続的に監視する。導入後も、新たに公表された脆弱性、インフラの変更、修正期限の未達を追跡する。

これらの対策は、サードパーティーのパッケージや開発者ツール、接続されたサービスに関わるAIソフトウェアのサプライチェーンリスクに対処する、より広範な取り組みを補完する。

可視性のギャップがベンダー評価を難しくする

Black Kiteは、外部スキャンと脅威インテリジェンスを用いて、2026年9月と10月に調査結果を収集した。

この評価の対象は、AI業務アプリケーション、導入サービス、専門プラットフォーム、消費者向け製品、基盤技術、産業システムに関わる企業だった。

同社の外部評価手法は、公開状態にある脆弱性とセキュリティシグナルを特定する。内部のセキュリティ管理策、非公開インフラ、修正 practices については、追加調査が必要になる場合がある。

小規模企業は一般に、外部から見えるインフラも少ない傾向があり、外部評価で検出できる脆弱性の数が限られる可能性がある。

AIサービスを購入する企業にとって、サプライヤーの評価では、ベンダーのセキュリティ態勢だけでなく、その製品がアクセスできるシステムも考慮する必要性が高まっている。

広く使われているAIコンポーネントの未修正の欠陥は複数のサプライヤーに影響を及ぼす可能性があり、過剰な権限は、侵害された統合機能による影響を拡大し得る。

定期的な脆弱性評価、依存関係の棚卸し、アクセス権のレビューを行うことで、接続された環境全体に広がる前に、こうした弱点を特定しやすくなる。

関連記事：GPUStackなど企業向け脆弱性の悪用に関するCISAの最新警告は、露出したシステムで緊急にパッチを適用すべき項目を詳しく解説している。