「パッチを全部当てる」は終わる。Check Point CTOが語る、AI時代の脆弱性管理の現実
何の話か：「全部直す」という前提が崩れた
セキュリティの世界でまた、ある前提が崩れはじめている。
「見つかった脆弱性には全部パッチを当てる」——これはこれまで自明のルールだった。しかし今、そのルール自体が機能しなくなりつつある。問題は怠慢ではなく、構造だ。AIが脆弱性を見つけるスピードが、人間が修正できる速度を完全に超えてしまっている。
2026年7月、Check Point Software TechnologiesがシンガポールでCTO（最高技術責任者）のジョナサン・ザンガー氏が語った内容は、この現実を正面から説明するものだった。要点は一つ：「全ての脆弱性にパッチを当てるという従来型の対応は、今後成り立たなくなっていく」。
なぜ今それが重要か：発見から悪用までの距離が一気に縮まった
Anthropicが2026年に発表した「Claude Mythos」の話から始めるのが早い。
このモデルが何をやってのけたかというと、27年前から存在していたOpenBSDのTCPスタックのバグと、17年来のFreeBSDのリモートコード実行の脆弱性を発見した上で、攻撃コードの自動生成まで完遂した。Firefoxからは100件を超えるエクスプロイト可能な脆弱性を導き出し、一部はメモリ操作の制御を奪う段階まで達したとされる。主要OS・ブラウザを横断して数千件規模のゼロデイが見つかったという報告もある。
さらにAnthropicは2026年2月、脆弱性発見に特化した「Claude Code Security」を発表した。これを機にセキュリティ業界全体の株価が下落するという、技術の話が市場に直結する出来事まで起きた。
ザンガー氏の表現を借りれば、「コードセキュリティの手法を誰もが知ってしまった。見つけようと思えば見つけられる時代になった」。そして今後1〜2年で、あらゆるベンダーからの脆弱性開示情報が「爆発的に」増えていくというのが同氏の予測だ。
ここが重要なポイントになる。脆弱性が増えること自体は昔からある問題だ。しかし今は、発見から悪用までの距離が極端に縮まっている。かつては「脆弱性が報告されてから攻撃者がエクスプロイトを作るまで」に一定の猶予があった。その猶予が、AIによってほぼ消えようとしている。
事実整理：CTEMとCheck PointのAEVが何を変えるのか
この状況に対してザンガー氏が提示するのが、ガートナーが提唱する「CTEM（Continuous Threat Exposure Management：継続的脅威エクスポージャー管理）」という考え方だ。
CTEMは5つのステージで構成される：スコーピング（対象範囲の特定）、ディスカバリー（資産・脆弱性の発見）、優先順位付け、検証、動員（対応の実行）。ザンガー氏が特に強調するのが「優先順位付け」だ。「重要なのは、見つかった脆弱性を片っ端からつぶすことではない。実際に悪用されるリスクが高いものから対応すること」——この一言が、今の脆弱性管理に求められる発想の転換を端的に示している。
Check Pointはこの考え方を実装するプラットフォームとして「Exposure Management」を構築し、その中核エンジンとして2026年6月に「AEV（Agentic Exposure Validation）」を発表した。
AEVの仕組みは5つのAIエージェントの連携で動く。全体の文脈を整理する「インテリジェンス・オーケストレーター」、発見した資産をグループ分けする「クラスタリング・エージェント」、個々の資産に対して脆弱性の学習・攻撃コード作成・パッチのリバースエンジニアリングまで行う「アセット・エージェント」、実害が出ないよう検証する「セーフティ・エージェント」、そして誤検知・過検知を判定する「バリデーター・エージェント」だ。
実際の成果として紹介されている数字を見ると、CVSSスコア9.6の脆弱性（既知の悪用事例あり）に対して、AEVが検知からWAFへの防御ルール自動作成・デプロイ・ブロックモード移行までを1時間以内で完了した事例がある。また、複数ベンダーのセキュリティ製品群を統合した企業では「セキュリティ・ハードニング効果」が95%に達し、平均対応時間が1.7時間に短縮。別の企業では導入開始時30%だったハードニング効果が1カ月後に83.8%まで向上している。
AIおじさんとしての見方：本質は「選別」へのシフトだ
ここからは解釈の話になる。
この記事を読んで最初に気になったのは、「優先順位付け」という言葉が反復されている点だ。これは一見、当たり前のように聞こえる。しかし実態として、多くの企業のセキュリティチームは「優先度をどう決めるか」の設計ができていない状態で日常業務を回している。CVSSスコアだけで判断している、あるいは「出てきた順に対応する」というのが実態だったりする。
ザンガー氏の言う「優先順位付け」はそれとは異なる。攻撃者が特定の国・特定のIPから仕掛けてくると分かっていれば、その経路を止めればいい。WAFやIPSで防げるものは、パッチが不要な場合もある。「パッチを当てなければならない」は選択肢の一つにすぎない、という発想の転換が必要だという話だ。
これは、脆弱性管理のボトルネックが「発見」から「選別（トリアージ）」に完全に移行したことを意味する。AIが秒速で脆弱性を検出できるようになった今、「どれを今直すか」を判断するコストの方が圧倒的に重くなっている。
もう一点、見落としがちな指摘がある。Qualys、Tenable、Rapid7といった既存の脆弱性管理ベンダーは「内部スキャンを起点とするアプローチ」をとっている。Check Pointは逆に「外部（攻撃者）視点」からのアプローチを軸とする——これがザンガー氏の語る差別化だ。同社はCyberint（2024年10月）とVeriti（2025年5月合意）の2社を買収することで、この外部視点を強化してきた。
内部スキャンで見えるものと、攻撃者が実際に踏みにくるルートは必ずしも一致しない。この非対称性を埋めるために「外部視点の脅威インテリジェンス」が要るという構造は、腑に落ちる。欧州エネルギー企業でのMeta広告を悪用したフィッシングキャンペーンの事例（米国・英国にセンサーを置く他社では検知できなかったという）は、その具体的な例として示されている。
「Linuxだから安全」「AppleやiOSだから安全」という前提についても言及があった。AIを使うと、Windowsの著名なペネトレーションツールを単独の開発者が1週間で8万行のコードに移植し、Linux環境で動作するよう改造できる、という事例がCheck Point Researchによって2025年末に確認されている。プラットフォームによるセキュリティの「お墨付き」が薄れるというのは、攻撃者側のコスト構造が根本から変わったことを示している。
実務的な示唆と今後の論点
では、これを受けて何を考えるべきか。
ザンガー氏は最後にいくつかのアドバイスを残している。ビジネスの優先順位を見直すこと、ベンダーからのアナウンスメントを注視すること、ゼロデイ対策をエンドポイントに組み込んでアップデートの優先順位を上げること。「次の2〜3年、こうした備えは間違いなく必要になる」という言葉で締められている。
実務的な観点で個人的に気になるのは、「誰がトリアージを設計するか」という問いだ。AEVのようなプラットフォームがどれだけ賢くなっても、「どの脆弱性が自社のビジネスにとって致命的か」の判断軸は組織側が持っていなければならない。ツールが優先順位を出してくれても、それをビジネスのコンテキストで受け止める人間がいなければ、出力は単なるリストになる。
もう一点。AEVが抱える「バリデーター・エージェント」の存在が示す問題は重要だ。「AIを攻撃側のエージェントとして使うと、リスクではないものをリスクだと過剰に判定してしまうことがある」というコレム氏の説明は、今後の課題をそのまま語っている。過検知・誤検知の除去がうまくできないシステムは、現場を疲弊させるだけになる。「脆弱性が爆発的に増える」と並行して「誤アラートが爆発的に増える」リスクも同時に育っている。
オープンソースフレームワークと自社開発アプリケーションへの言及も軽視できない。ザンガー氏は「Log4jやStrutsのように、OSSフレームワークで過去に大きな脆弱性が見つかった例は多い」と指摘し、エンタープライズ企業の多くが社内開発するJavaアプリケーションやSaaSベンダーが使う同様の技術が、今後大きなインパクトを受ける可能性を示している。Microsoft・Oracle・SAPといった大手ベンダー製品への議論は活発だが、自社コードへの意識が薄いという指摘は多くの組織に当てはまる。
次に同種のニュースを見るときの軸を一つ置いておく。「脆弱性を減らす」という話ではなく「どれを先に直すかを決める仕組みがあるか」という軸で読むと、どのセキュリティベンダーの主張も評価しやすくなる。「AIで脆弱性を自動検出」という売り文句は増え続けるが、検出の後のトリアージ設計が伴っているかどうかが、実際に役立つかどうかを決める。
まとめ
「全部直す」は限界だという話は、一見すると諦めの話に聞こえる。しかしザンガー氏の言っていることはそうではない。「何を先に直すかを決める能力」こそが、今後のセキュリティの競争力になるという話だ。
AIが攻撃者を底上げし、脆弱性の発見から悪用までの距離が縮まった今、「見つけて全部直す」から「見つけて選別して素早く塞ぐ」へ——この思想の転換は、セキュリティ担当者だけでなく、ビジネスとしての優先順位を持つ経営層にも問われている。CTEMの「優先順位付け」というステージが、今後最も実力差が出る領域になるだろう。
参考元: 「パッチを全部当てる」時代の終焉 Check PointのCTOが語る、AI時代の脆弱性管理（ITmedia エンタープライズ）
