AIが引き起こした「異例の夏」——Microsoftのパッチ数が650件超の新記録#
2026年9月のパッチチューズデー（毎月第2火曜日に実施されるMicrosoftの定例セキュリティ更新）において、Windowsだけで650件以上のセキュリティ修正が提供され、また新たな記録が打ち立てられました。この記録的なパッチラッシュの背景には、高性能なAIモデルによる脆弱性の大量発見があります。
記録更新の経緯——わずか数ヶ月で3度目の快挙#
Microsoftは通常、毎月約100件の脆弱性を修正しています。しかし今夏は状況が一変しました。報告によれば、今年4月にAnthropicの新しいAIモデル「Mythos」が主要なすべてのオペレーティングシステムおよびWebブラウザにおけるセキュリティ脆弱性を発見。さらに数週間後には、OpenAIもサイバーセキュリティに特化した独自モデルを信頼できるパートナー向けにリリースしました。
Microsoftのセキュリティ業務に詳しい情報筋によると、これら2つのAIモデルが今夏の記録的なパッチチューズデー連続更新に大きく貢献しているとのことです。その推移を時系列で整理すると以下のようになります。
- 6月：約200件のセキュリティ修正（当時の新記録）
- 7月：少なくとも570件の修正（6月比でほぼ3倍）
- 8月：約400件の修正
- 9月：Windowsだけで650件超の修正（最新記録）
9月の650件という数字は、AIモデルが登場する以前に通常パッチされていた件数の実に約6倍に相当します。今回の9月更新は、この数ヶ月間で3度目の記録更新となります。
なぜこれほど急増しているのか——AIによる脆弱性発見の加速#
AIを活用したセキュリティ調査の台頭により、ソフトウェアの脆弱性が従来では考えられないスピードで発見・開示されるようになっています。特に注目すべき点として、Anthropicは今年、MythosモデルがWindowsなどの新たに開示されたソフトウェア脆弱性に対して、従来なら数週間かかっていた攻撃コード（エクスプロイト）の作成を数時間以内に行えることを明らかにしています。
Microsoftが修正しているパッチの内容には、リモートコード実行脆弱性（攻撃者が遠隔からコードを実行できる深刻な脆弱性）や権限昇格（低権限のユーザーが管理者権限を不正取得する脆弱性）などが含まれており、いずれも放置すれば甚大な被害をもたらすリスクがあります。Microsoft社内のエンジニアたちは夏の間、これら大量のパッチを検証する作業に追われてきたとされています。
企業が直面する「パッチギャップ」問題#
このような状況は、Microsoft製品を利用する企業のIT管理者にも大きな課題を突きつけています。通常、企業のIT管理者はMicrosoftからのパッチを適用する前に、業務上重要なアプリケーションへの影響がないかテストを実施する必要があります。この「脆弱性が公開されてから実際にパッチが適用されるまでの時間的な空白」はパッチギャップと呼ばれ、サイバーセキュリティ上の古くからのリスクとして知られています。
しかし、AIによって脆弱性の発見と開示のペースが急加速している現在、このパッチギャップがもたらすリスクは以前にも増して深刻です。Mythosがエクスプロイトを数時間で作成できるという事実は、企業がパッチ適用を後回しにすることの危険性を如実に示しています。特に、リモートコード実行のような攻撃者に悪用されやすい脆弱性が存在する場合、その危険性はさらに高まります。
Microsoftは現在、悪意ある攻撃者がAIを活用してWindowsやAzure、その他のソフトウェアの未発見の脆弱性を突く前に、自社でいち早く発見・修正しようと積極的に取り組んでいます。
まとめ#
2026年夏、AIモデルの急速な進化がMicrosoftのセキュリティ対応に劇的な変化をもたらしました。9月のパッチチューズデーで650件超という新記録を打ち立てた事実は、ソフトウェアセキュリティの在り方そのものが転換点を迎えていることを示しています。
筆者の見解: 今後さらに強力なAIモデルが登場すれば、パッチの件数は再び記録を更新する可能性があると、情報筋に詳しいThe Vergeの記者トム・ウォーレン氏も指摘しています。企業のIT担当者にとって、パッチ適用プロセスの迅速化は今やオプションではなく、喫緊の課題と言えるでしょう。毎月数百件規模の脆弱性が発見・開示されるAI時代において、「時間」こそが最も重要なファクターになっています。
