---
title: "MicrosoftのAI脆弱性調査「FORGE Lab」、Windowsの140件のCVEに貢献。見つけた報告を誰が直すのか"
description: "FORGE Labが貢献したWindowsの140件のCVEは5〜9月の公表・修正時期別集計。OSSの155件は別途3カ月の報告。平均3.61ドル・21.5分という成功例の条件と、人の検証・修正への課題を確かめる"
url: https://itpostjp.com/security/microsoft-forge-lab-ai-vulnerability-research-140-cves/
category: "セキュリティ"
published_at: 2026-10-08T08:30:00Z
updated_at: 2026-10-08T10:10:29Z
author: "IT Post編集部"
editor: "編集長 千田智也"
publisher: "IT Post by Rice Studio Lab"
language: ja-JP
ai_generated: true
ai_model: claude-sonnet-5
terms: ["AIエージェント", "CVE（共通脆弱性識別子）", "脆弱性"]
---

# MicrosoftのAI脆弱性調査「FORGE Lab」、Windowsの140件のCVEに貢献。見つけた報告を誰が直すのか

IT Post編集部 ＆ 編集長 千田智也

FORGE Labが貢献したWindowsの140件のCVEは5〜9月の公表・修正時期別集計。OSSの155件は別途3カ月の報告。平均3.61ドル・21.5分という成功例の条件と、人の検証・修正への課題を確かめる

## 30秒で分かる結論

- Microsoftは2026年10月7日、同社のAI活用型脆弱性調査チーム「FORGE Lab(Frontier Offensive Research & Generative Exploitation Lab)」の活動実績を公式セキュリティブログで公表しました。2026年5月から9月の5カ月間で、Windows関連のCVE(共通脆弱性識別子)140件の割り当てにつながったとしています。月別の数字は公表・修正時期別で、発見日や探索性能の集計ではありません。
- 別途3カ月間の調査で、Linuxカーネルを含む23のオープンソースプロジェクトに対して155件の内部検証済みレポートを提出し、執筆時点で93件がcurl・Node.js・Linuxなど14のプロジェクト(群)で受理・確認済みとされています。
- FORGE Labは、複数のAIモデルを組み合わせて脆弱性を自動探索する独自の仕組み「MDASH」を使っており、Linuxカーネルでクラッシュを再現できた182件の実証コード生成は、平均モデル費用3.61ドル・平均時間21.5分でした。初期選別、失敗・除外された候補、人手の調査や修正準備は含みません。

## まず初めに

AI企業の発表は「性能が上がった」「安くなった」という話が多いが、Microsoftの今回の発表はちょっと毛色が違う。「うちのAIが頑張りすぎて、バグを見つける速度が、直す速度を追い越しそうだ」という、嬉しいのか困るのか分からない報告だ。ただし、公表・修正件数の図だけで探索性能やWindows Updateの重さまで測れたわけではない。見つける側の拍手より、直す側の勤務表が気になる。※個人の感想です

## 何が起きているのか

Microsoftは2026年10月7日、公式セキュリティブログに掲載した記事「3 lessons from frontier AI vulnerability research」で、同社のAI活用型脆弱性調査チーム「FORGE Lab」の活動実績を公表しました。記事の執筆者は、同チームを率いるTaesoo Kim氏(Microsoft Vice President, Agentic Security)です。

FORGE Labは、Windowsの脆弱性調査について、2026年5月から9月までの5カ月間で140件のCVE(共通脆弱性識別子。ソフトウェアの脆弱性を識別するための世界共通の番号)の割り当てにつながったとしています。月別の公表・修正時期の区分では、5月16件、6月10件、7月27件、8月35件、9月52件です。5月から6月は減っており、単調に増えた集計ではありません。Microsoftは、月別の数字が発見日やスキャン処理量を示すものではないと明記しています。

オープンソースソフトウェアについては、別途3カ月間の調査で、Linuxカーネルを含む23のプロジェクトに対し、内部で検証済みの155件のレポートを提出したとしています。Windowsの5〜9月集計と同じ期間を指す記述ではなく、この3カ月間の開始月・終了月は該当箇所に明示されていません。このうち、記事の執筆時点で93件が、curl・Node.js・Linuxカーネル・SQLite・llama.cppなど14のプロジェクト(または関連プロジェクト群)で受理または確認済みとされ、すでに公開されているCVEとして、curlの「CVE-2026-9545」「CVE-2026-13608」、Node.jsの「CVE-2026-56848」、Linuxカーネルの「CVE-2026-64563」が挙げられています。

これらの調査を支えているのが、FORGE Labが開発した「MDASH(multi-model agentic scanning harness)」という仕組みです。複数のAIモデルを組み合わせて脆弱性を自動的に探索するシステムで、記事では、Linuxカーネルの検証において、MDASHが数千件の疑わしい箇所を検出し、検証エージェントが627件の裏付けを生成、クラッシュを再現できた182件について、実証コード(PoC)生成の平均モデル費用が3.61ドル、平均時間が21.5分だったと示しています。この評価にはGPT-5.5を使い、成功したケースに伴う全試行を集計しています。一方、初期選別、失敗したり除外されたりした候補、人手による調査とパッチ準備は含みません。脆弱性の発見から修正完了までの総費用・総時間ではありません。

## なぜ重要なのか

今回の発表が注目される理由は、AIによる脆弱性調査が、研究段階の実験にとどまらず、実際にWindowsや主要なオープンソースソフトウェアのセキュリティ更新の件数に直接影響を与える規模になっていることを、Microsoft自身が数字付きで示した点です。ただし、月別の公表・修正件数だけから、AIの探索効率が上がったことや発見速度の変化を証明することはできません。

記事自体も、この点を「転換点」として扱っています。Microsoftは、難しいバグを見つける能力そのものよりも、見つかった報告をどう検証し、メンテナ側の対応能力を超えないペースで修正につなげるかが新たな課題になっているとしています。実際、記事では「報告が修正より速く増えると、レビューの待ち行列が伸びる」という課題が明示されています。curlやNode.js、Linuxカーネルは、Windows以外の多くのサービス・アプリの基盤として広く使われているソフトウェアであるため、ここでの脆弱性修正は影響範囲が広くなります。

## 私たちへの影響

一般の利用者が直接FORGE Labの活動を意識する場面は少ないですが、間接的な影響は小さくありません。[Windowsチームの7月9日の公式説明](https://blogs.windows.com/windowsexperience/2026/07/09/evolving-windows-vulnerability-management-to-meet-the-speed-of-ai-powered-discovery/)は、AIでより多くの問題が見つかるにつれ、各セキュリティリリースに含まれる修正件数が増える見込みとしています。更新を配信する頻度が増えるという説明ではありません。見つかった問題を検証・修正し、利用者が更新を適用するまでが保護につながる過程です。

また、curlやNode.jsのように、スマートフォンのアプリやWebサービスの裏側で広く使われているソフトウェアの脆弱性が修正されることは、私たちが直接それらのソフトウェア名を意識しなくても、利用しているサービスの安全性に関わってきます。IT関連の業務に携わる方にとっては、オープンソースソフトウェアを採用している場合、今回FORGE Labが報告したプロジェクト(curl、Node.js、Linuxカーネルなど)に関連するセキュリティ更新情報を、通常以上に注意して確認する価値があります。

## 初心者が知っておくべきこと

「CVE(Common Vulnerabilities and Exposures、共通脆弱性識別子)」とは、ソフトウェアに見つかった脆弱性(セキュリティ上の欠陥)1件ごとに割り振られる、世界共通の識別番号のことです。「CVE-2026-9545」のような形式で表記され、セキュリティ専門家や開発者が、同じ脆弱性について情報をやり取りする際の共通言語として使われています。

「オープンソースソフトウェア」とは、設計図にあたるソースコードが公開され、誰でも内容を確認したり改良したりできる形で提供されているソフトウェアのことです。curl(データ通信に使われる基本的なソフトウェア)やNode.js(Webサービスの開発に広く使われる実行環境)、Linuxカーネル(Linuxという基本ソフトの中核部分)は、いずれも世界中の多くのサービス・製品の基盤として使われているオープンソースソフトウェアです。

**Q. AIが脆弱性を見つけると、ソフトウェアはより安全になるのですか?**
A. Microsoftの発表では、AIによる調査で見つかった報告は、メンテナ(そのソフトウェアを管理する担当者)による確認・検証を経てから修正されるとされています。記事では、検出件数そのものではなく「検証済みの修正件数」を重視すべきだとしており、見つかった分だけ自動的に安全になるわけではなく、確認・修正のプロセスを経て初めて安全性の向上につながるとされています。

## IT Postの見方――バグ発見の「大量生産」、直す側が追いつけるかが本番

IT Postは、AIを使った脆弱性調査そのものは歓迎すべき取り組みだと考える。これまで人力では時間がかかっていた調査を自動化し、curlやLinuxカーネルのような広く使われるソフトウェアの弱点を事前に塞げるなら、利用者全体にとって明確な利益だ。

一方で、記事の中でMicrosoft自身が認めているとおり、「報告が修正より速く増えると、レビューの待ち行列が伸びる」という課題は、AIによる脆弱性調査が広がるほど深刻になっていくはずだとIT Postは見ている。見つける速度だけが上がり、直す速度(人間によるレビューや、メンテナの対応能力)が追いつかなければ、未修正の報告が積み上がるだけの結果にもなりかねない。AIが見つけた分だけ安全になる、という単純な話ではないという点は、今後も注視していく必要があるだろう。※個人の感想です

## 今後どうなりそうか

Microsoftは、今後はパイプライン全体(候補数、重複、却下、検証済みの欠陥、レビューの待ち時間、修正までの経過時間など)を計測していく方針を示しています。また、セキュリティ責任者に対して、検出件数ではなく検証済みの修正件数を重視するよう提言しています。IT Postでは、Windowsのセキュリティ更新や主要オープンソースプロジェクトへの影響について、新たな発表があれば改めて取り上げます。

## 訂正履歴

- 2026-10-08T10:10:29Z: 月別140件のCVEを発見日・探索効率の上昇と読み取れる記述を、公表・修正時期の区分へ訂正しました。OSS155件は別途3カ月の集計です。平均3.61ドル・21.5分は成功した182件のクラッシュ再現のモデル費用・時間で、初期選別、失敗・除外候補、人手の調査やパッチ準備を含まないと補足。Windows更新の頻度増ではなく各セキュリティリリースの修正件数増という公式説明へ改めました。初回公開日は保持しています。

## 情報源

- [3 lessons from frontier AI vulnerability research](https://www.microsoft.com/en-us/security/blog/2026/10/07/3-lessons-from-frontier-ai-vulnerability-research/) — Microsoft Security Blog(公式)（一次情報）
- [microsoft/forge-lab](https://github.com/microsoft/forge-lab) — Microsoft(GitHub公式リポジトリ)（一次情報）
- [Evolving Windows vulnerability management to meet the speed of AI-powered discovery](https://blogs.windows.com/windowsexperience/2026/07/09/evolving-windows-vulnerability-management-to-meet-the-speed-of-ai-powered-discovery/) — Microsoft Windows Experience Blog(公式)（一次情報）

## この記事に出てくるIT用語

- [AIエージェント](https://itpostjp.com/terms/ai-agent/): 与えられた目標に向けて、AIが自ら計画を立て、複数の作業を連続して実行する仕組みのことです。
- [CVE（共通脆弱性識別子）](https://itpostjp.com/terms/cve-common-vulnerabilities-and-exposures/): 世界中で見つかったソフトウェアの脆弱性一つひとつに割り振られる、共通の番号のことです。
- [脆弱性](https://itpostjp.com/terms/vulnerability/): ソフトウェアやシステムに存在する、悪用されると情報の窃取や不正操作につながりかねない設計・実装上の欠陥のことです。

---

この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。

出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/microsoft-forge-lab-ai-vulnerability-research-140-cves/