脆弱性は公表から平均3日で悪用 AIを使った攻撃は8%どまり、Rapid7の報告

スマホに出る「アップデートがあります」の通知。つい「あとで」を押していないだろうか。

米国のセキュリティ会社Rapid7が10月21日に出した報告は、その「あとで」の危うさを数字で示している。2026年7〜9月の3か月に、同社が攻撃の監視や調査で集めた情報をまとめたものだ。深刻度の高い脆弱性が公表されてから、攻撃に使われるまでの期間は平均3日だった。

3日という短さには、正直驚く。攻撃に使われた例の71%は公表から1週間以内、90%は30日以内に起きていた。使われた脆弱性の79%は、離れた場所から、パスワードなしで突ける種類だった。

Rapid7は報告の冒頭で「この報告から数字を一つだけ覚えるなら、3にしてほしい」と書く。週に1回や月に1回の更新では、攻撃する側に追いつけないという。

AIは「手伝い」の段階

では、話題のAIはどうか。同社が追った報告のうち、攻撃の実行にAIを使ったとするものは8%だった。どの例でも、何を狙い、なぜ狙うかを決めたのは人だった。AIが受け持っていたのは、次にどの手口を使うか選んだり、うまくいかなかったときにやり直したりする途中の作業だ。

とはいえ、AIで脆弱性を見つける速さは上がっている。もっとも、この3か月に新たに攻撃に使われた脆弱性は43件で、前の3か月より少なかった。Rapid7は、見つかる数が増えることと、攻撃が増えることは別の話だとしている。

報告は世界の動きをまとめたもので、日本だけの数字は載っていない。

それでも、個人にできることははっきりしている。更新を早く入れることだ。10月27日に配信が始まったiOS 27.2も、163件の脆弱性を直している（iOS 27.2の記事）。AIが攻撃の途中を受け持つ場面が増えれば、3日という間はさらに縮むかもしれない。