AIが自動で脆弱性を修復？Patching as a Serviceとは｜OpenAI×ソフトバンクが描く次世代サイバー防御

AIが自動で脆弱性を修復？Patching as a Serviceとは｜OpenAI×ソフトバンクが描く次世代サイバー防御

1. AI時代のサイバー防衛に迫る転換点

サイバー攻撃の現場はいま、AIによる自動化の波にさらされています。攻撃者は大規模言語モデル（LLM）を活用し、脆弱性コードを自動生成する「AIエクスプロイト」や、標的ごとに最適化されたフィッシング手法を次々と生み出しています。

これに対し、従来の「人手による防御」では対応速度が追いつきません。日本国内でも、CSIRTやSOCが「パッチ適用が間に合わない」「脆弱性の優先度判断が難しい」といった課題を抱えています。

AIによる攻撃に対抗するには、AIによる防御が不可欠。
その代表的アプローチが「Patching as a Service（PaaS）」です。

ソフトバンクとOpenAIが共同で進めるこのモデルは、AIが脆弱性修復サイクルを自動化することで、企業のセキュリティ運用を根本から変革しようとしています。

2. 「Patching as a Service」とは何か

「Patching as a Service（PaaS）」は、AIが脆弱性の診断から修復提案、パッチ適用までを一貫して支援するSaaS型サービスです。

仕組みの全体像

1. 診断：AIがソースコードや構成情報を解析し、既知／未知の脆弱性を特定
2. 優先度判定：攻撃可能性やシステム影響度などを自動スコアリング
3. 修復提案：AIが安全な修正コードや設定変更案を提示
4. パッチ適用：自動または半自動で修復を実施し、再検証までを完結

このプロセスを通じて、従来数週間かかっていた脆弱性対応が数時間〜数日レベルに短縮されます。

既存ツールとの違い

特に注目すべきは、OpenAIの自然言語解析技術が脆弱性の原因や修復意図を「人間の言葉」で説明できる点。これにより、非専門部署でも修復内容を理解しやすくなり、運用の属人化を防ぐことができます。

3. どんな課題を解決できるのか

Patching as a Serviceがもたらす価値は、単なる自動化にとどまりません。企業が直面する構造的なセキュリティ課題を、AIが根本的に補完します。

① 手動対応の限界を突破

• スキャンツール出力後の分析・修正が人手依存
• パッチ適用の検証サイクルが長期化

→ AIが修復案を即時生成し、検証まで自動化することで、修復リードタイムを最大80％短縮。

② 人材不足の解消

セキュリティエンジニアの採用難が深刻化するなか、PaaSは「AIアシスタント」として既存チームの生産性を数倍に引き上げます。

③ リスクの可視化と優先度最適化

AIはCVSSスコアだけでなく、システム依存関係や運用影響を考慮して自動的に優先順位を提示。「どの脆弱性から直すべきか」が一目で分かります。

④ SOC／CSIRT業務の効率化

修復提案が自動化されることで、SOCは「検知」に集中し、CSIRTは「戦略的防御設計」にシフト可能。AIがオペレーションを代行し、人間は判断に専念する構造が生まれます。

4. 導入プロセスと運用イメージ

導入の流れは大きく4ステップです。

Step1：既存システムのスキャン・統合

既存の脆弱性管理ツールやソースコードリポジトリと連携し、API経由で検査データをPaaSに統合します。

Step2：AIモデルによる脆弱性分析

OpenAIベースのモデルが脆弱性を自動分類。「既知」「未知」「誤検知」の3つのカテゴリで整理し、対応優先度を算出します。

Step3：修復提案と自動パッチ適用

AIが安全な修正コードや設定変更を提案。承認ルールに従い、自動パッチ適用も可能です。

Step4：人間による最終確認・本番反映

AIの提案結果をセキュリティ責任者が確認し、本番環境へ反映。この「人間の最終判断」を残すことで、安全性と説明責任を両立します。

5. 実証データと導入効果

ソフトバンク社内ではPatching as a Serviceを700以上のシステムに適用。その結果、以下のような成果が得られました。

• 約1万件を超える脆弱性を自動検出
• 修復提案までの平均時間を従来比85％削減
• 修復コードの品質・再現性も向上し、再発率を大幅低減

さらに重要インフラ企業へのパイロット導入も進行中。初期検証では、パッチ適用サイクルが平均3分の1に短縮されたというデータもあります。

6. まとめ：AIが“守る側”に立つ時代へ

AIが攻撃者の武器になる一方で、防御の中心的役割も担い始めています。Patching as a ServiceはAIが「検知から修復」までを支援することで、セキュリティ運用を次のステージに引き上げます。

「AI攻撃 vs AI防御」——これからのセキュリティは、人間とAIの協働で守る時代へ。