セキュリティチームが脆弱性を評価する新たな選択肢として、防御策のテストを支援するよう設計されたAI生成エクスプロイトが登場した。
Anyday Securityは2026年11月11日、脆弱性評価と防御テスト用の概念実証（PoC）エクスプロイトを提供する無料のAI搭載プラットフォーム、ExploitTotalを立ち上げた。同社によると、動作するエクスプロイトを200件超生成しており、組織が対策の優先順位を決め、セキュリティ制御を検証するのに役立つ可能性がある。
「AIによって、脆弱性とエクスプロイトの間の距離はなくなった」と、Anyday SecurityのCEO兼共同創業者であるYonatan Gorfung氏は述べた。Gorfung氏は、公開されているエクスプロイトコードが存在しないことは、もはや脆弱性の悪用難度を確実に示すものではないと主張している。
ExploitTotalの仕組み
Anydayは発表で、公開アドバイザリーとベンダーのパッチを使い、オープンウェイトのGLM-5.3モデルを200件超の脆弱性に対してテストしたと述べた。成功したエクスプロイトの72%には、それまで公開されたエクスプロイトがなかったという。
ExploitTotalの公開された手法では、結果を次の3つに分類している。
- 動作するエクスプロイト：モデルが標的を制御する。
- 再現可能なクラッシュ：制御が実証されないまま、脆弱性が誘発される。
- 試行失敗：テスト中に悪用可能性が実証されない。
このプラットフォームは、Chromium、Firefox、Windows、Linuxの一部の脆弱性を対象としている。Googleが最近実施したChromeのゼロデイセキュリティアップデートは、実際の攻撃で悪用されているブラウザーの欠陥に対処する必要性を示している。
公開検索は無料で利用できるが、PoCのダウンロードにはプロフェッショナル認証が必要で、週5件に制限される。
生成されたエクスプロイトを防御側が活用する方法
ExploitTotalは、脆弱性が自組織の環境で悪用可能かどうかをテストすることで、セキュリティチームが深刻度スコアの先へ進むことを支援する。
「セキュリティチームは自組織の環境にある数千件の脆弱性を把握していても、そのほとんどについて動作するエクスプロイトを持っていない」と、Anyday Securityの共同創業者兼最高技術責任者（CTO）であるOmri Sibony氏は述べた。
「当社のシステムは、ベンダーが修正プログラムをリリースしたその日にエクスプロイトを生成する。そのためチームは、自組織の脆弱性を検索し、自社システムに対してエクスプロイトを実行して、ツールが攻撃を阻止できるか確認できる。阻止できなければ、侵害が起きてから知るのではなく、実際の攻撃に対する検知ルールや仮想パッチを作成できる」
独立した研究は、AIを活用したエクスプロイトのより広い実現可能性を裏付けている。Epoch AIによる実証では、GLM-5.3が管理された環境下で動作するFirefoxのエクスプロイトチェーンを開発できた。ただし、これらの調査結果だけでExploitTotalが報告した性能が独立に検証されたわけではない。
最近のCrowdStrikeによるエクスプロイト実行時間に関する調査でも、観測された1件の事例で、公開PoCのリリースから35分以内に悪用が行われたことが記録されている。
組織がリスクを軽減する方法
組織は、急速に悪用される脆弱性に対する防御を、次の対策によって強化できる。
- 公開システムの優先順位付けとパッチ適用：資産インベントリ、CVSS、EPSS、CISA KEVの更新情報を使って対策の指針とする。
- 代替的な防御策を適用する：すぐにパッチを適用するのが難しい場合は、仮想パッチ、WAFルール、IPSによる防御、またはアクセス制限を導入する。
- 攻撃対象領域を縮小する：不要なサービスを無効化し、管理者アクセスを制限するとともに、重要システムをセグメント化する。
- 検知能力を検証する：隔離された環境で承認済みのPoCをテストし、セキュリティツールが悪用の試みを検知することを確認する。
- インシデント対応計画をテストする：急速に悪用される脆弱性を想定し、エスカレーション、封じ込め、復旧の手順を訓練する。
Anydayの利用規約では、PoCの実行は安全でない、または非破壊的でない可能性があると警告している。
ExploitTotalは、防御側が露出を検証し、検知能力を向上させるのに役立つ可能性がある。ただし、報告された結果については、異なる環境での独立した再現検証がなお必要だ。
詳しくはこちら：報告されたAI支援による欧州の通信事業者への侵入は、攻撃活動におけるAIエージェントの別の活用例を浮き彫りにしている。