マイクロソフト、AI活用で過去最多の脆弱性修正

米マイクロソフト（MSFT）は今週、WindowsやOfficeなどの製品群に対し、AI（人工知能）を活用して発見したコードの脆弱性（ぜいじゃくせい）を修正するための、過去最多となるセキュリティパッチをリリースしました。

同社は火曜日、月例のセキュリティ修正プログラム「パッチチューズデー」の一環として、570件のセキュリティ不具合に対するパッチを提供しました。これは、セキュリティ研究者たちが長年「パッチチューズデー」と呼んできた定例の修正リリースとしては異例の多さです。

今回修正された脆弱性のうち、少なくとも2件はゼロデイ脆弱性に分類されます。これは、マイクロソフトがその存在を認識する前に、すでに悪用されていたことを意味します。

具体的には、Windows Serverに影響する脆弱性により、攻撃者は限定的なユーザー権限からシステム管理者の権限へと昇格させることが可能になります。また、ファイル共有サーバーであるSharePointにも影響する脆弱性が確認されており、米政府のサイバーセキュリティ機関CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、この脆弱性を悪用した攻撃により、組織が侵害されるリスクがあると警告しています。

この大量のパッチリリースは、マイクロソフトが先週、月例パッチの件数が従来よりも大幅に増加する見込みであるとブログで述べていたことを受けてのものです。

同社は、従業員がソフトウェア内の未発見のセキュリティバグを発見するのを支援するためにAIを活用していると説明しています。

Windows部門責任者のパヴァン・ダヴルーリ氏は、「AIが防御側の問題発見を支援するにつれて、顧客は各セキュリティリリースに含まれるセキュリティアップデートの量が増加するのを目にするだろう」と述べています。

AIモデルがサイバーセキュリティ問題に特化し、より高度になるにつれて、セキュリティ研究者たちは、長年、あるいはそれ以上にソフトウェアコード内に潜んでいた可能性のある脆弱性を発見するためにAIを利用しています。マイクロソフトのWindowsコードの一部は、数十年前にさかのぼるものもあります。