（教育活動Blog）2026年10月に考える人間とAIの関係性

2026年10月26日 · 教育活動 / 高度情報技術科4年制 / 高度情報処理科 / 情報処理科

2026年10月に、情報セキュリティ分野での大きなニュースが相次ぎました。ここでは次の3件を取り上げます。

1. Linuxカーネルの脆弱性: CVE-2026-99999（通称 PwnEscape）
2. PHP言語処理系の脆弱性: PHP CVE-2026-109618 / CVE-2026-109619（通称 PHP2Shell）
3. eMudhra 発行の中間証明書の秘密鍵漏えい

どんな問題が発生したのか

3件を簡単に説明します。いずれも、情報セキュリティ分野では重大な問題と判断されているものです。

1. Linuxカーネルの脆弱性（通称 PwnEscape）

2026年10月15日に公表された、Linuxカーネルの IPv4 パケット処理に存在する脆弱性です。この脆弱性が深刻であったのは、クラウドのような仮想化環境で、仮想コンピュータ（クラウドサービスの利用者が使っている方）からホスト側（クラウドサービスのサーバ）のメモリ内容を読み取ったり、条件によってはプログラムを実行できる可能性があるからです。発見のきっかけは賞金付きのセキュリティコンテスト（Vercelの「100万ドルサンドボックスチャレンジ」）で、参加した研究者が報告したことです。 影響を受けるのは主にクラウド事業者やサーバ事業者、自社で仮想化基盤を運用している組織です。国内ではさくらインターネットが影響調査のため新規申し込みを一時停止しました。

2. PHP言語処理系の脆弱性（通称 PHP2Shell）

Webアプリケーション開発によく使用されているPHP言語の、処理系（PHPプログラムを実行する機能）に見つかった脆弱性です。2つの脆弱性が発見され、いずれも外部から送り込まれたプログラムをサーバ内で実行可能であるものだったので、深刻度が高いと評価されました。脆弱性情報と修正プログラムの公開が事前に予告されたものの、その前に脆弱性の詳細が広まってしまったため、Webサイトやサービスを一時中断するなどの対応が取られました。対策はPHP処理系を修正版に更新することです。ただしサポートが終了している古いバージョンには正式な修正版が公開されません。古いPHPと現在のPHPとではプログラミング上の変更点も多く、古いPHPバージョンを使い続けていたサービスではプログラムの修正が必要となり、対応に時間がかかるかもしれません。

3. eMudhraが発行した中間証明書の秘密鍵漏えい

こちらは「電子証明書」に関する問題です。インドの認証局（CA）eMudhra が発行した証明書について、使用した秘密鍵が極めて単純なもので、すぐに復元できることが分かりました。その結果として、本物に見えるような証明書を作成することができ、偽Webサイトを作成することや、通信の盗聴も可能になります。現在のインターネットの安全性を根本から揺るがしかねない問題ではあるのですが、実際に使用する証明書が発行されていなかったことや、著名なWebブラウザなどがすぐに問題のある証明書を無効とする対応をとったことから、現在まで実害は発生していないようです。

生成AIはどのように関わったか

現在、セキュリティ分野でもAIの活用が進んでいます。これらの3件でもAIの関わりがありました。しかし関与の「深さ」は3件で異なり、グラデーションになっています。そしてこの違いを正しく切り分けること自体が、AI 時代のセキュリティニュースを読むための良い訓練になると言えます。

AIの関わりをまとめると、次の表のようになります。

1. Linuxカーネルの脆弱性では、人間が研究を主導しました。セキュリティコンテストに参加した研究者が問いを立て、実施手順を設計し、調査の方向を決めました。その上でAIがソースコードの解析、攻撃経路の探索、前提の検証（自分たちの思い込みへの反証）という推論を担いました。この研究はAI エージェントが隔離環境から脱出し、最終的に Hugging Face のシステムに侵入した OpenAI の事案が公表された数週間後に始まりました。この件について研究者（人間）が関心を持ったことが、この研究の動機になっていました。

2. PHP言語処理系の脆弱性では、原因となるプログラムの欠陥は10年以上前から存在していました。しかし、実際に悪用するためには複雑な手順を連鎖させる必要があり、「人間の研究者が現実的に達成できる限界に近い難しさだった」と表現されています。最新鋭のAIがその困難さを乗り越え、埋まっていた欠陥を危険な脆弱性に変えました。発見したWiz社の発表では、従来なら世界トップクラスのチームが数ヶ月かかった作業を、AIを使うことで1週間で終えた、と表現しています。

3. eMudhraが発行した中間証明書の秘密鍵漏えいの問題では、原因は鍵生成手順の不備と確認ミスでした。その発見に直接AIが使われたかは不明です。ですから、直接的にAIが関わった事案ではありません。AIでなくても公開前に鍵を検査する仕組みがあれば防げたものです。逆に言えば、結果の確認や手順の点検にAIを活用する余地があった事案と考えられます。

セキュリティ面でのAI活用が重要

LinuxとPHPの事案は、AIを活用したことで脆弱性を発見できました。AIを活用したソフトウエア開発はここ数年で本格化したばかりですから、古くからあるソフトウエアは人間によって書かれたものです。残念ながら多くのバグや脆弱性が対処されないまま残されていると考えられています。今回の2件も、それぞれ18年前、14年前から存在していた欠陥が原因です。

現在のAIは、プログラムを書くだけでなく、既存のプログラムを分析して修正することも得意です。人間も行えますが、一番の違いはスピード、網羅性、持続力です。スピードについては説明は不要でしょう。ここでの網羅性とは、「全てのパターンを試す」こと、持続力は続けることです。たとえ100万通りの組み合わせがあっても、AIは休まずに全てのパターンを試し、うまくいかなければ方法を修正し、それを100万通りの組み合わせに試していくことができます。これを高速に行っていくのですから、「決まった方針で実行していく」ことについては、人間がAIに勝つことは既に不可能です。

このようなAIはバグの修正に役立ちますが、悪用すれば未知の脆弱性を発見し、対策される前に悪用することが出来てしまいます。JPCERT/CCは最近相次ぐセキュリティインシデントで、AIを用いた攻撃ツールの悪用を確認しています。

攻撃側がAIを悪用している状態では、防御側もAIを活用しなければ、対応は難しいと考えられます。

人間とAIの協業が重要

では、情報セキュリティ分野では、もう人間は不要なのでしょうか。今回紹介した3件をみれば、人間の役割も引き続き重要であることが分かります。

• Linuxの脆弱性を発見したpwn.aiは、「難しい問いを立て、何を証拠とみなすかを判断したのは人間」と書いています。
• PHPの問題では、最初に発見したCalif社が「使ったのは一般に入手できるAIモデルだけで、特別なツールはない。PHPの歴史を知っていることのほうが重要だった」としています。また、「単純なプロンプトだけであらゆるバグを見つけられるAIモデルは、少なくとも今はない」と結論付けています。

これら2つの事案では、人間が方針を立て、あるいは既に問題を認識しており、AIは実施の難しさを解決する役割でした。人間とAIとの協業が重要だったのです。3番の事案も、協業していれば問題は起きなかったかもしれません。ですから人間が不要になったのではなく、引き続き重要な役割を担っていると言えるでしょう。