サイバーセキュリティの仕事に携わってきた間、防御側は常に同じ「計算の合わない問題」に直面してきました。どのチームも修正しきれないほど多くの脆弱性が存在する一方で、どれが本当に重要なのかを示すシグナルは足りない、という問題です。フロンティアAIは今、この計算を書き換えようとしています。能力を高め続けるモデルがマシンスピードで脆弱性を発見・分析するようになり、脆弱性発見の量と速度は劇的に加速しようとしています。すべてのセキュリティリーダーに問われているのは、シンプルな問いです。リスクを理解し、優先順位を付け、低減する能力は、そのスピードに追いつけるでしょうか。
トレンドマイクロのエンタープライズ事業部門であるTrendAI™にとって、その答えの出発点は、数十年にわたって続けてきた取り組みにあります。これは新たに始めるものではなく、さらに深めていくコミットメントです。
CISA KEVがサイバーセキュリティで最も実用的なシグナルである理由
米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の「悪用が確認された脆弱性（KEV: Known Exploited Vulnerabilities）カタログ」（英語）は、実際に悪用されている証拠のある脆弱性を集めたリストです。2026年半ば時点で1,300件を超えるエントリが登録されており、毎週増え続けています。KEVカタログが防御側に示すのは、攻撃者が「理論上悪用できる」脆弱性ではなく、「すでに悪用している」脆弱性です。この点で、セキュリティにおいて最も実用的な優先順位付けのシグナルの1つといえます。
TrendAI™は長年、仮想パッチと脆弱性対応の焦点を、まさにこうした影響の大きい脆弱性に合わせてきました。そして今、この方針をさらに強化しています。KEVカタログに掲載されている脆弱性はいずれも攻撃者が現に悪用しているものであり、その修正は仮定上の脅威への備えではなく、実際に測定可能なリスク低減につながります。
お客様の声
「CISA KEVは、攻撃者がすでに使っている脆弱性を防御側に教えてくれるという点で、サイバーセキュリティで最も実用的なシグナルの1つです」と、DataBankのCISOであるMark Houpt氏は述べています。「しかし、AIが脆弱性発見のスピードを変えていく中で、セキュリティチームは静的な優先順位付けから、継続的な意思決定と対応へと移行していく必要があります。脆弱性インテリジェンスを最も速くリスク低減につなげられる組織が、大きな優位性を手にするでしょう。」
仮想パッチ：修正パッチ提供前の保護
仮想パッチは、ベンダーの修正プログラムが提供される前、あるいは適用できるようになる前に、ネットワークおよびワークロードのレイヤーで既知の脆弱性を保護する仕組みです。正式なパッチのテストと展開が進む間も、システムを守り続けます。パッチサイクルを待つのか、今日から保護されるのか。その違いを生むのが仮想パッチです。
この機能を支えているのは、世界最大のベンダー非依存型バグバウンティプログラムである「TrendAI™ Zero Day Initiative™（ZDI）」（英語）の独自リサーチです。TrendAI™ ZDIのリサーチはTrendAI Vision One™に直接反映されるため、お客様はベンダーのパッチ提供より最大115日早く保護を受けられます。AIによって脆弱性の発見から悪用までの時間が短縮されていく中で、この先行の価値はかつてなく高まっています。
単一のカタログだけでは不十分な理由
率直に言えば、AIが脆弱性発見の量と速度を押し上げていく中では、KEVを含め、単一のカタログやスコアリングシステムだけで、企業が「何が最も重要か」を判断するのに必要な文脈をすべて提供することはできません。
これからの脆弱性管理は、複数のシグナルを組み合わせられるかどうかにかかっています。実際の悪用の証拠、脆弱性インテリジェンス、組織のエクスポージャー、資産とビジネスの文脈、そして新たな脅威の動向です。さらに、AIがこれらのシグナルを継続的に評価し、どこで対応すれば最もリスクを減らせるかを判断することも欠かせません。TrendAI™にとって、KEVはこの進化における重要なベンチマークであり、最終目的地ではありません。
「タイム・トゥ・ゼロ」の短縮
TrendAI™が目標とするのは、「タイム・トゥ・ゼロ（time to zero）」、すなわち脆弱性の発見からプロアクティブなリスク低減策の展開までの時間を短縮することです。脆弱性の種類、影響を受けるサービス、環境、ベンダーの修正プログラムの有無によって、適切な対応は仮想パッチ、新しい検出ロジック、代替コントロール、ポリシー更新など様々です。ただし、方向性は変わりません。脆弱性の出現が速くなるなら、保護の提供も速くならなければなりません。
これを大規模に可能にするのがAIです。TrendAI Vision One™全体で、TrendAI™ ZDIのリサーチ、エクスプロイトインテリジェンス、エクスポージャーの状況、ビジネスリスクを組み合わせてAI支援型の優先順位付けを実現し、セキュリティチームが利用可能なあらゆるシグナルをもとに、より良い意思決定と対応を行えるようにしています。
セキュリティリーダーが今取り組むべきこと
AIによって加速する脆弱性発見への備えを検討しているなら、まず次の3点から始めてください。第一に、自組織をKEVカタログと照らし合わせて評価すること。KEVは実証された現在進行形のリスクを表しているからです。第二に、脆弱性の公開からパッチ適用までの期間をカバーする、仮想パッチのようなプロアクティブな保護があるかを確認すること。第三に、静的なスコアベースの優先順位付けから、継続的で文脈を踏まえた意思決定への移行を始めることです。
脆弱性管理の次の時代を決めるのは、誰が最も多くの脆弱性を見つけるかではありません。組織がどれだけ速くそれを理解し、対応できるかです。脆弱性インテリジェンスを最も速くリスク低減につなげられる組織が大きな優位性を手にします。TrendAI™は、お客様がその一員となれるよう支援していきます。
よくある質問
CISA KEVカタログとは何ですか？ 米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の「悪用が確認された脆弱性（KEV）カタログ」（英語）は、攻撃者による実際の悪用が確認されている脆弱性をまとめた権威あるリストであり、世界中の防御側が修正対応の優先順位付けに利用しています。
仮想パッチとは何ですか？ 仮想パッチは、ベンダーの正式なパッチが提供される前、あるいは安全に適用できるようになる前に、ネットワークまたはワークロードのレイヤーで既知の脆弱性の悪用を防ぐ保護手法です。
TrendAI™はどのように脆弱性の優先順位を付けていますか？ TrendAI™は、CISA KEVカタログ（英語）、独自のTrendAI™ ZDI（英語）による脆弱性リサーチ、エクスプロイトインテリジェンス、組織のエクスポージャー、ビジネス上の文脈を組み合わせ、TrendAI Vision One™のAIによって、どこで対応すれば最もリスクを減らせるかを継続的に判断しています。
著者について
Rachel Jinは、トレンドマイクロのエンタープライズAIセキュリティ事業であるTrendAI™のChief Platform and Business Officerです。エンジニアリング、プロダクトマネジメント、経営の各分野で、20年以上にわたりサイバーセキュリティに携わってきました。
参考記事
The Speed of AI Is Changing the Vulnerability Landscape. Our Commitment to CISA KEV Isn’t.
By By Rachel Jin · TrendAI™
翻訳：与那城 務（Platform Marketing, Trend Micro™ Research）