Microsoft、パッチ適用が遅れるなかAIでWindowsの脆弱性修正を拡大

Microsoftは2026年11月5日付のWindowsの脆弱性管理に関する最新情報で、2026年10月のセキュリティリリースにより1,100件を超えるWindowsの脆弱性に対処したと発表した。一方、8月の企業向けデータによると、リリースから数週間が経過しても、多くのデバイスで更新プログラムが適用されていなかった。

Windows Servicing and Delivery担当パートナーディレクターのNuno Costaが執筆したこの投稿は、Microsoftが2026年7月9日の先の発表で示した取り組みの続報にあたる。その発表ではすでにMDASH、AIを活用した修正プログラムの開発と検証について説明されており、今回の発表は、10月の修正件数と新たな展開状況の測定結果を示す進捗報告となっている。

脆弱性の発見、修正、検証におけるAIの活用

脆弱性の報告は、外部の研究者やパートナーに加え、Microsoft社内のエンジニアリングチームやセキュリティチームからも寄せられる。報告の受付、更新情報の提供、連携した対応の中心となるのがMicrosoft Security Response Centerだ。エージェント型コードスキャナーのMDASHは、複数のAIモデルと専門エージェントを使って脆弱性の候補を特定・検証し、その後、セキュリティチームとエンジニアリングチームが調査結果を確認し、対応方法を決定する。

MicrosoftのCodename MDASHのプレビュー版ドキュメントによると、このパイプラインは4段階で構成される。まず、コールグラフ解析とコード複雑度の指標を使ってファイルに優先順位を付け、次に、優先度の高いコードを100を超える専門エージェントと複数の大規模言語モデルでスキャンする。検証では、汚染解析、型解決、複数モデルによる議論を通じて信頼度を調整し、誤検知を排除したうえで、重複する調査結果を統合する。スキャナーは信頼度スコアも割り当て、Defender CLIを通じてコード修正を生成することもできる。

修正支援の対象は、影響の評価、影響を受けるWindowsのバージョンと関連するコードの派生形の特定、修正方法の検討、バックポートの計画、セキュリティテストと回帰テストの作成にまで及ぶ。作業内容の確認、意思決定、最終成果物への責任は、引き続きエンジニアが担う。リリースの検証では、社内での段階的な試験提供、機能面とセキュリティ面の概念実証テスト、アプリケーション互換性テストに加え、ハードウェアパートナー、セキュリティベンダー、ソフトウェアベンダー、顧客による外部検証も行う。AIは、テストの選定、作成、トリアージ、分析、報告も支援する。

任意で適用できるセキュリティ以外のプレビュー更新プログラムも、確認の機会となる。組織は、その内容が翌月のセキュリティ更新プログラムに含まれる前に、選択したデバイスへインストールできる。

修正件数の増加と、脆弱性悪用の開発期間の短縮

Microsoftは、10月の件数増加は、Windowsのセキュリティ低下ではなく、調査対象となったコードと修正された脆弱性が増えたことを示すものだとしている。同社はSecurity Update Guideを通じて、深刻度、影響、悪用可能性に関する情報を公開している。さらに、機械可読形式のCommon Security Advisory Framework勧告、Vulnerability Exploitability eXchange文書、脆弱性管理・コンプライアンスシステム向けAPIも提供している。Windowsのセキュリティ更新プログラムは累積的であるため、優先順位を決める際は、個々の修正プログラムの適用対象を選ぶのではなく、インターネットに接続するシステム、ID基盤、価値の高い資産から順に、どのデバイスを先に更新するかを判断すべきだ。

緊急性の理由は、公開後に何が起きるかにある。修正プログラムが公開されると、根本にある脆弱性の情報が明らかになり、攻撃者が悪用方法を開発する材料となる可能性がある。2026年6月8日に公開された研究でAnthropicは、Claude Mythos Previewが、テスト対象となった21件のWindowsカーネル修正プログラムのうち18件で概念実証用のクラッシュを生成し、低い権限のユーザーをSYSTEM権限へ昇格させる完全な攻撃チェーンも8件生成したと報告した。18件すべてのクラッシュは6時間以内に生成されたが、こうした悪用手法を実際の攻撃キャンペーンに利用するには、さらに作業が必要となる。

企業における更新適用の遅れ

Microsoftが公開した2026年8月の診断データによると、測定対象となったWindows搭載の企業向けデバイスでは、2週間後にセキュリティ更新プログラムをインストール済みだったのは半数未満で、4週間後も約4台に1台が未適用のままだった。この数字は、更新の展開速度が、個別の管理上の懸念ではなく、リリースのたびに生じるリスクの一部であることを示している。

Microsoftは、サポート対象のWindowsバージョンの使用、速やかな更新、セキュリティベースライン、エンドポイント検出、利用可能な緩和策、インシデント対応と復旧の実践を推奨している。Windows AutopatchはIntuneを通じて段階的な展開とレポート機能を提供し、対象となるWindows 11およびWindows Server 2025のシステムでは、ホットパッチにより再起動を減らせる。リリース後は、自動化システムが診断、展開、サポート、フィードバックに関するシグナルの相関分析を支援する。エンジニアは、ガイダンスの改訂、回避策、Known Issue Rollback、帯域外更新プログラムで対応できる。

中心的な課題は、AIによって防御側の対応件数を増やせる一方、更新プログラムの展開に使える時間が短くなり得ることだ。10月の数字は対処した脆弱性の数を示すが、8月のデータが示すのは、保護が実際にデバイスへ届くまでの速さである。Microsoftの発表を踏まえると、発表からインストールまでの期間こそ、脆弱性の発見と修正の迅速化がリスクの低減につながっているかを測る最も明確な指標となる。