ニュース
PHPの脆弱性をAIが発見 OpenAI、同種の発見「数カ月で急増」と予測
自社のWebサービスがPHPで動いているかどうか、すぐに答えられるでしょうか。OpenAIのAIモデルが重大な脆弱性を発見したという発表は、攻撃と防御の両方でAIが前面に立つ段階が近いことを示しています。オープンソースを使う企業にとって、他人事では済まない話です。
何が起きたか
米OpenAIは10月21日（現地時間）、オープンソースのプログラミング言語「PHP」に見つかった脆弱性について、自社のAIモデルで発見したと発表しました。この脆弱性の修正版は同日公開されています[1]。
発見はOpenAIのオープンソースソフトウェア安全性支援プロジェクト「Patch the Planet」の一環で、セキュリティ企業の米CalifがAIモデル「GPT-5.6 Sol」を活用して見つけたものです。OpenAIはパートナー企業や米政府などとも連携し、2カ月をかけて脆弱性と修正版の公開準備を進めました[1]。
同じ脆弱性は、セキュリティ企業の米Wizも独自に発見しています。Wizによれば、GPT-5.6 Solに加え、米GoogleのAIモデル「Gemini 4 Argon」も活用したといいます[1]。
OpenAIは、今回は攻撃者より先に最先端AIで脆弱性を発見できた一方、攻撃者側もAIを悪用できると指摘しています。そのうえで「同様の発見は今後数カ月で急増する」との見通しを示しました。これを踏まえ、OpenAIは自社のセキュリティプログラムを通じた支援や、AIを前提とした脆弱性対策の枠組み構築に取り組むとしています[1]。
背景・解説
PHPは、多くのWebサイトやWebアプリケーションの開発に使われているオープンソースのプログラミング言語です。世界中のサーバーで広く稼働しているため、脆弱性が見つかると影響範囲が非常に広くなります[2]。
今回の脆弱性を巡っては、PHP開発者のほか、Wiz、Cloudflare、米CISA、米政府関係者が加わる形で、5段階にわたる修正プロセスが2カ月かけて進められました。OpenAIは、このプロセス自体を今後のAI主導型セキュリティ発見における再現可能な枠組みとして提案しています[2]。
Wizは、AIの活用が攻撃のハードルを下げる点にも言及しています。これまで特定のPHP環境向けに作られた攻撃コードを別のバージョンや設定に移植するには相応の手間が必要でしたが、大規模言語モデルはバージョンや設定、メモリ構成の違いを自動的に調整できるといいます。その結果、これまで実用的でないとされていた脆弱性も、攻撃対象として成立しやすくなるとWizは説明しています[2]。
仕事や業務への影響 — AI Topicaの見方
PHPを使ったサイトやシステムを運用している企業は、バージョン確認と修正版への更新を後回しにすべきではありません。例えば、従業員50人規模のECサイト運営会社で情シス担当が1人しかいない場合でも、公開されている確認ツールでPHPのバージョンを調べ、該当する場合は速やかに更新作業を済ませるべきです。作業自体は多くの場合、半日から1日程度で完了します。
今回の発表が示すのは、脆弱性の発見という作業がAIによって従来より速く、広範囲に行えるようになったという事実です。これは防御側だけでなく攻撃側にも同じことが起こり得るため、脆弱性対応のスピードがこれまで以上に問われる局面に入っています。情報システム部門を持つ企業は、OSSの利用一覧とバージョン管理を定期的に棚卸しする体制を整えるべきです。例えば、社内に10種類以上のオープンソースライブラリを使っている製造業の企業であれば、四半期に1回程度の棚卸しを業務ルールとして組み込むことが現実的な対応になります。
経営層にとっては、セキュリティ対応を「情シスに任せきり」にする運用はもう十分ではありません。AIによる脆弱性発見が増えるという予測が事実である以上、修正版の適用スピードを経営指標の一つとして扱う企業が増えていくことになります。
不確かな点・注意
OpenAIが示した「今後数カ月で急増する」という予測について、具体的な件数や対象範囲の根拠は発表内容から確認できません[1]。また、Wizが指摘した「攻撃対象として成立しやすくなる脆弱性」が具体的にどの程度の規模に及ぶのかも、出典からは明らかになっていません[2]。
Wizは今回の発見でGemini 4 Argonが脆弱性の発見や攻撃手法の構築、修正の検証に特に有効だったとしていますが、GPT-5.6 Solとの役割分担の詳細までは記載がありません[2]。攻撃者側が実際にAIを使って同様の脆弱性探索を行っているかどうかについても、現時点で確認できる情報はありません。自社のPHP利用状況が今回の脆弱性の対象かどうかは、各社が個別に確認する必要があります。