エグゼクティブサマリー
脆弱性管理はいま、重大な転換点を迎えています。AnthropicのClaude MythosやOpenAIの新しいChatGPTといったAIモデル、そして新興勢力の登場により、これまで専門家主導で制約を受けていた脆弱性の発見プロセスが、マシンスピードで行われる産業化された能力へと進化しました。Mythosをはじめ、脅威発見を加速させるAIモデルはすでにベンダーや研究者、悪意ある攻撃者の間でも利用が広がっています。
これは一時的な変化ではありません。脆弱性発見のスピードはすでに人間の対応能力を超え、修正対応は人手に依存したままです。セキュリティリーダーたちはこの状況を「パッチ・アポカリプス」と呼び、脆弱性の規模・スピード・悪用可能性が、伝統的なパッチ運用を上回る危機的状況と位置づけています。
新たな脅威環境
- CVEの開示件数が年間45,000件以上に急増しており、これは歴史的な基準値の3倍です。AIによる自動脆弱性発見の直接的な結果です。
- エクスプロイトまでの時間が平均5日に短縮されており、AIによるパッチのリバースエンジニアリングと自動エクスプロイト生成によって圧縮されています。
- ゼロデイが見出しを飾る一方で、既知の脆弱性（N-day）が実際の侵害の大部分を引き起こしています。
- Google Chromeなどの主要ベンダーは週次パッチリリースへと移行しています。より多くのベンダーが継続的なリリースサイクルを採用するにつれ、従来の月次メンテナンスサイクルでは対応できなくなっています。
- 規制強化により、社内スケジュールに関わらず、より迅速な対応が求められています。
今後は、受動的なパッチ管理から、リスクをリアルタイムで評価し継続的に曝露管理を行うフレームワークへの移行が不可欠です。Ivanti Neuronsのようなプラットフォームは自律型エンドポイント管理（AEM）を通じてパッチリスク許容度の自動設定、現状の継続的監視、リスクベースの自動修正を実現します。
パッチのアポカリプス：構造的危機であり、衛生の問題ではない
長らく、パッチ業務は毎月脆弱性を特定→深刻度順で優先付け→パッチ配布というサイクルで十分機能してきました。これは脆弱性発見のスピードが人間基準で、攻撃側も多くの手間が必要だった時代の話です。
その現実は、すでに終わりを告げました。
AIが脆弱性管理を壊したのではなく、すでに破綻していた点を顕在化させたのです。今や、企業のパッチ不全は衛生問題や投資不足ではなく、「マシンスピードの発見 VS 人間依存の対応」という構造的なギャップに起因しています。
3つの危機加速要因
CVEの量とリスクの乖離：2025年だけで、約48,000件のCVEが公開されました。しかし、CVEの量はリスクと同義ではありません。膨大な数の脆弱性は、従来の重大度ベースの優先順位付けを圧倒し、分析麻痺をもたらします。AIモデルは現在、何十年もの審査を経て残存していたゼロデイを含む、数千の未知の脆弱性を発見しています。1%未満しか十分に迅速にパッチが適用されず、CVEインフラはその出力量を吸収することができません。
ゼロデイが高い基準値で安定：ゼロデイの悪用は現在、歴史的な基準を大幅に上回る水準で推移しています。Mythosのようなモデルがこの違いを実証しています。従来の手法では2つのFirefoxエクスプロイトしか生成できなかった一方、AIを活用したアプローチでは181件を生成しました。これは成功率の90倍の改善です。このシフトにより、ゼロデイは国家レベルの戦略的資産から、専門知識ではなくコンピュートの可用性によって制約される産業的インプットへと変貌しました。
既知の脆弱性（N-day）がほとんどの侵害を引き起こす：メディアがゼロデイに注目する一方で、N-dayの脆弱性が実際の侵害の大多数を引き起こしています。エクスプロイトまでの時間が短縮しています。AIモデルはパッチのリバースエンジニアリングとコードの差分解析に優れており、開示されたCVEをほぼ即座に信頼性の高いエクスプロイトへと変換します。攻撃者はゼロデイを戦略的な侵入に温存し、N-dayが大量作戦を主導します。
従来型パッチ運用モデルの限界
現状を乗り越えるには、伝統的なサイクル型・深刻度主軸のパッチ管理から、リアルタイムなエクスポージャー管理と自律型エンドポイントによる統合修復への転換が不可欠です。その中で自律型エンドポイント管理は、パッチ修復の統合されたレイヤーを提供します。
新たな運用の現実
パッチ頻度の増加：Google Chromeなどの主要ベンダーは週次パッチリリースへと移行しており、さらに多くのベンダーがこのペースに追随することが予想されます。このシフトは、月次のパッチチューズデーモデルからの根本的な転換を意味します。AIによる発見は、より頻繁なアップデートを促し、月次または四半期ごとのバッチではなく、定期的にパッチを適用する必要性を強調します。悪用された脆弱性に対するソフトウェアリリースは、組織のメンテナンススケジュール外に発生することが多くあります。
短縮する対応期限：対応期限は劇的に短縮しています。CVEの発見率が加速するにつれ、開示と積極的な悪用の間の時間は引き続き短縮しています。IvantiのVP、製品管理、エンドポイントセキュリティ担当Chris Goettlが指摘するように、「多くの組織では、悪用された脆弱性を解決する優先度の高いアップデートが通常の月次メンテナンス外に発生した場合、対応に苦労しています。」
なぜパッチのみのセキュリティはスケールできないのか
月次メンテナンス、重大度ベースの優先順位付け、ITIL重視の承認フロー、手動トリアージは共通の致命的な欠陥を持っています。それらは人間の努力に比例して線形にスケールする一方、脅威はコンピュートの可用性とともに指数関数的にスケールします。
継続的デリバリーのジレンマ：メンテナンス間に重大な脆弱性が発生した場合、組織は対応不可能な選択に直面します。「緊急」パッチが週次イベントになると、緊急パッチ適用も一時的なリスクの受け入れもスケールしません。
重大度スコアの誤ったシグナル：CVSSスコアは実際のリスクではなく、理論的な影響を測定します。チームは既知のエクスプロイトが存在しない「Critical」の脆弱性を、実際に悪用されている「Medium」の欠陥より優先することが多くあります。後者が実際の侵害を引き起こしているという事実にもかかわらずです。
資産可視性のギャップ：多くの企業は、どのソフトウェアバージョンがどこに展開されているかに関する包括的なリアルタイムの可視性を欠いています。この基盤となるデータレイヤーがなければ、リスクベースの優先順位付けは不可能になります。セキュリティチームは存在を知らないアセットのパッチ適用を優先することができません。
エクスポージャーベースのパッチ管理フレームワーク
サイバーリスクの再定義
将来的に、企業はセキュリティリスクを概念化する方法を再定義することを求められますす。サイバーリスクの単位は、もはや脆弱性そのものではなく、悪用可能性とエクスポージャーウィンドウの削減です。
この移行には4つの原則が指針となります。
- 悪用の圧力が常に存在すると想定する：未知の欠陥は確実に存在します。各開示に対して反応的に対処するのではなく、パッチが適用されていない脆弱性が存在し、発見されることを前提とした環境を設計します。
- 存在するものだけでなく、使用可能なものを優先する：悪用可能性は重大度に勝ります。リスクは技術的影響、エクスプロイトの可用性、アセットのエクスポージャーの交差から生まれます。従来の重大度スコアは最初の要素しか考慮しません。
- アウトプットではなく成果を測定する：適用されたパッチ数ではなく、エクスポージャーの削減に焦点を当てます。成果重視のメトリクスには、既知の悪用された脆弱性の修復までの時間と、悪用可能なエクスポージャーを持つ重要なアセットの割合が含まれます。
自律型エンドポイント管理によるエクスポージャーベースのパッチ管理フレームワークの構築
企業はマインドセットの変化だけではエクスポージャーベースのパッチ管理を達成することはできません。成功には、リスクの認識を自動化されたアクションに変換する統合された修復レイヤーとしての自律型エンドポイント管理が必要です。
リスク許容範囲の定義：組織は、どの脆弱性クラス、アセットタイプ、悪用シナリオが即時修復と定期メンテナンスのどちらに値するかを明示的に指定する必要があります。基盤は、許容可能なリスク閾値を定義する、文書化された経営幹部承認済みのリスク許容範囲声明の上に構築されます。これはアドホックな人間の判断ではなく、自動化された意思決定ロジックに変換されます。
リスクポスチャーの監視：リスクポスチャーは任意の時点での実際のセキュリティ状態を表します。現在の状態と望ましいリスク許容範囲との間のリアルタイムのデルタです。「展開されたパッチ数」を測定するのではなく、組織は「アクティブなエクスプロイトにさらされている重要なアセットの割合」と「リスク許容範囲に違反している時間」を追跡できます。
自律型エンドポイント管理によるリスクベース展開の自動化：リスクポスチャーのギャップを自動化されたワークフローに変換するには、ベンダーの重大度スコアではなく、アセットの重要度、エクスポージャー、エクスプロイトの可用性に基づいてパッチを優先するリスクによる展開が必要です。自律型エンドポイント管理プラットフォームは、包括的なアセット可視性とマシンスピードで動作できるインテリジェントな自動化を組み合わせることでこれを実現します。資産がリスク許容範囲のコンプライアンスから逸脱した場合、修復はAutonomous Endpoint Managementを通じて自動的に処理されます。定期的なメンテナンスサイクルがベースラインとなり、継続的なコンプライアンスを維持するためにリスク主導の自動化が緊急の並行アップデートを処理します。
ソリューション：Ivanti Neurons for Patch Management
これらの課題に対応するには、対応型の手動パッチ管理から自律的でリスク主導の修復機能への根本的な転換が必要です。Ivanti Neurons for Patch Managementは、AIによる脅威ランドスケープのために専用設計された統合自律型エンドポイント管理プラットフォームを通じてこの変革を実現します。
AIが加速する脅威への自律的な対応能力
Ivanti Neuronsは、AIによる脅威ランドスケープにおける自律的なITおよびセキュリティ運用のために特別に設計された統合Autonomous Endpoint Managementプラットフォームです。Ivanti CEOのDennis Kozakが説明したように、「組織は、問題を検出するだけでなく、安全かつ大規模に意思決定し行動する能力を持つシステムを必要としています。」
Continuous Compliance：パッチギャップの排除
Ivanti Neurons for Patch ManagementはContinuous Complianceを導入しました。これは定期的な展開と規制要件の間のギャップを排除する自動化された適用フレームワークです。
優先修復：コンプライアンスから外れたエンドポイントを自動的に特定し、定期的なウィンドウと並行してパッチを展開します。資産が定期的な展開を見逃した場合（オフライン、ネットワークの問題、または一時的な障害のいずれによるかを問わず）、Continuous Complianceは次のサイクルを待つのではなく、利用可能になり次第修復が実行されることを確保します。
自動コンプライアンス検証：自動コンプライアンス検証は、展開の成功を前提とするのではなく、実際のパッチインストールと設定状態を検証します。このクローズドループ検証により、コンプライアンス追跡が展開の意図ではなく現実を反映することが確保されます。
リスクベースの優先順位付け：脆弱性インテリジェンスとの統合により、重大な脆弱性を即時修復へと自動的にエスカレーションすることが可能になります。CVEが開示済みから積極的に悪用されている状態に移行すると、脆弱なアセットは人間による再分類を待つことなく、自動的に優先修復を受けます。
この自動化されたフレームワークは、パッチ適用の需要増加に効果的に対応するためのソリューションをチームに提供します。AIによって発見された脆弱性が引き起こす「パッチ・アポカリプス」に備えている業界において、自動化された継続的なコンプライアンスが唯一のスケーラブルな対応策となります。
統合Autonomous Endpoint Managementプラットフォームアプローチ
Ivanti Neuronsプラットフォームは、統合されたエージェンティックAIと包括的なプラットフォームデータ（ライフサイクルステータス、デバイスインベントリ、エンタイトルメント権限、サポート履歴、アセット関係）を融合することで自律型エンドポイント管理を提供します。この最新のアプローチは、断片化されたインサイトを大規模な自律的でコンテキストを認識した修復へと変換します。
信頼できるコンテキスト：AIによるワークフローは、複雑な環境全体で信頼性の高い意思決定を行うために必要な正確で権威あるコンテキストで動作します。
ガバナンスが効いた自動化：内蔵のポリシーエンジンにより、自律的な操作が定義された組織の制約内に留まることが確保されます。自動化はコントロール、コンプライアンス、監査可能性を犠牲にすることなく対応を加速します。
統合された可視性：統合ダッシュボードにより、ツールの乱立とデータの断片化が解消されます。すべての修復システムが同じ権威あるインベントリと脆弱性インテリジェンスから動作する場合、優先順位付けの一貫性が組織全体で向上します。
推奨事項と今後の進め方
人間の努力だけでは、AIが加速させる脅威に対応するためにスケールすることはできません。従来のパッチ管理は脅威が人間のスピードで進んでいた時代には機能していましたが、その時代は終わりを迎えました。明確なソリューションは自律型エンドポイント管理です。組織は、エンドポイントを受動的なアセットから、人間の介入なしにマシンスピードで脅威を発見し、リアルタイムのリスクを評価し、脆弱性を修復できる自己保護エージェントへと変換するインテリジェントなシステムを必要としています。
Ivanti NeuronsのようなAutonomous Endpoint Managementプラットフォームは、手動プロセスではスケールできない3つの重要な機能を提供します。
- 全社的なリアルタイムの資産の可視化（シャドーIT、クラウドワークロード、モバイルデバイスを含む）
- 脆弱性インテリジェンスと組織のエクスポージャーを組み合わせる、予測的でコンテキストを認識したリスクの優先順位付け
- スケジュールされたメンテナン外に重要なパッチを展開しながら、クローズドループ検証を通じて実際のインストールを継続的に検証する自律的な自己修復
まずIT、セキュリティ、コンプライアンスの関係者とともにパッチリスク許容範囲を定義することで、自律型エンドポイント管理への移行を開始します。次に、どの脆弱性クラスが即時の自動アクションと定期メンテナンスのどちらに値するかを文書化します。その後、最も重要な10〜20%のアセット（インターネット対応システム、特権アカウント、規制に敏感なインフラ）に対して、継続的なコンプライアンス機能を備えたIvanti Neurons for Patch Managementを展開する準備が整います。最後に、展開されたパッチ数ではなく、既知の悪用された脆弱性の修復までの時間、重要なアセットのエクスポージャーウィンドウの削減、および防止された侵害の試みを測定する成果ベースのメトリクスを確立します。
この新たな現実で誰が繁栄するかを決める問いは、自律型エンドポイント管理を採用するかどうかではなく、脅威の速度と対応能力のギャップが乗り越えられないものになる前に、組織がこの移行を完了できるかどうかです。
パッチのアポカリプスを乗り越える
AIが脆弱性管理を破壊したのではありません。AIは既存モデルがすでに限界に達していた箇所を明らかにしたのです。MythosやOpenAIのようなモデル、そしてAIによる脆弱性発見を活用する新興市場の参入者たちが、脅威ランドスケープのテンポを再定義しました。
パッチ・アポカリプスは避けられないものではありません。しかし、パッチのみのセキュリティの失敗は避けられません。
この移行を成功裏に乗り越える組織は：
- 全社的なカバレッジを試みる代わりに、明示的なリスク許容範囲を定義します。
- 自動的に検出、判断、行動する自律型エンドポイント管理プラットフォームを展開します。
- パッチ展開数ではなく、既知の悪用されたエクスポージャーの削減によって成功を測定します。
変革に失敗する組織は以下を経験するでしょう：
- 規制機関がより迅速な対応を義務付けるためのコンプライアンス違反の増加
- エクスプロイトまでの時間が引き続き短縮するにつれた侵害頻度の増加
- 悪用可能な脆弱性が修復能力より速く蓄積するにつれた技術的負債の増大
- より俊敏な競合他社が手動で行おうとすることを自動化するにつれた戦略的不利
より多くのアクターがAI支援の研究能力を展開するにつれ、脆弱性の現実のギャップは拡大するでしょう。成功は、ギャップが乗り越えられないものになる前に、組織がどれだけ迅速に移行を完了できるかにかかっています。
道は明確です。自律型エンドポイント管理によって推進される自律的なエクスポージャー主導のセキュリティへと進化するか、または毎日さらに遅れていく手動の防御努力に頼り続けるかのどちらかです。
Ivantiについて
Ivantiは、データとシステムを管理・自動化・保護することで人間の可能性を最大限に引き出すことに専念するグローバルなエンタープライズITおよびセキュリティソフトウェア企業です。Ivantiの提供サービスの中核をなすのは、AIを活用したIvanti Neuronsプラットフォームであり、一貫した可視性、スケーラビリティ、安全な実装を確保する統合サービスを提供することで、ITおよびセキュリティチームの業務方法を変革します。
Ivanti Neurons for Patch ManagementおよびContinuous Compliance機能の詳細については、www.ivanti.com/jaをご覧ください。