🇺🇸アメリカ政府がAI時代のサイバー防衛を強化、最重要脆弱性は「3日以内」に対応へ

AIによるサイバー攻撃能力が急速に向上する中、アメリカのサイバーセキュリティ・インフラセキュリティ庁（CISA）が政府機関向けの新たな脆弱性管理方針を発表しました。

新たな指令では、最も危険度の高い脆弱性について「最短3日以内」の対応を義務付けています。従来のようにCVSSスコアだけで優先順位を決めるのではなく、「実際に悪用される可能性」を重視したリスクベースの運用へ大きく舵を切る形です。

これは単なる運用ルールの変更ではなく、AIによってサイバー攻撃の速度そのものが変化した時代への対応とも言えます。

⚠️ なぜ今「3日ルール」が必要になったのか

近年のサイバー攻撃は、人間のハッカーが手作業で脆弱性を分析する時代から大きく変わりつつあります。

特に生成AIやAIエージェントの発達により、攻撃者は公開された脆弱性情報を短時間で解析し、自動的に攻撃コードを作成できるようになっています。

これまで企業や政府機関は、脆弱性情報が公開されてから数週間～数カ月かけて対応するケースも珍しくありませんでした。しかし現在では、その時間的猶予が急速に失われています。

実際にAnthropicは高性能AI「Claude Mythos Preview」の研究結果として、公開済みの脆弱性（N-day脆弱性）から数時間で攻撃手法を構築できる可能性を報告しています。

業界ではすでに、

という議論まで始まっており、防御側も従来よりはるかに迅速な対応が求められるようになりました。

従来、多くの組織はCVSS（共通脆弱性評価システム）の点数を基準に優先順位を決めていました。

しかしCVSSは「技術的な危険度」を評価する指標であり、「実際に攻撃されるかどうか」を十分に反映できないという課題がありました。

そこでCISAは新たに以下の4項目を重視する方針を打ち出しています。

これらの条件を満たす脆弱性ほど優先度が高くなり、最も危険なものについては3日以内の修正が求められます。

対応方法は必ずしもパッチ適用だけではなく、

なども認められています。

今回の方針転換の背景には、AIの急速な進歩があります。

近年公開された研究では、AIが以下のような作業を高精度で実施できることが示されています。

従来は高度な専門家が数日～数週間かけて行っていた作業が、AIによって数時間単位に短縮されるケースも報告されています。

特に政府機関や重要インフラは魅力的な攻撃対象であり、パッチ公開から攻撃開始までの時間差が急速に縮まっています。

そのため、「脆弱性を知っている」だけでは不十分で、「どれを最優先で潰すか」がこれまで以上に重要になっています。

アメリカだけでなく、世界各国でも脆弱性管理の考え方は変化しています。

欧州ではEUのサイバーレジリエンス法（Cyber Resilience Act）やNIS2指令によって、重要インフラ事業者へ迅速なセキュリティ対応が求められています。

イギリスの国家サイバーセキュリティセンター（NCSC）も、単純な脆弱性スコアではなく「実際の悪用可能性」を重視する姿勢を示しています。

一方、日本でも経済産業省やIPAがサプライチェーン全体を対象とした脆弱性管理を推進していますが、依然としてパッチ適用の遅れは課題として指摘されています。

Verizonの2026年データ侵害調査レポートによれば、既知の悪用脆弱性のうち2025年に完全修正された割合はわずか26％で、修正完了までの中央値は43日でした。

この数字を見る限り、CISAが掲げる「3日以内」は非常に野心的な目標と言えます。

CISAの新指令は、AI時代のサイバー防衛における大きな転換点となりそうです。

これまでの「脆弱性の数を減らす」という発想から、「実際に攻撃される可能性が高い脆弱性を最優先で潰す」という考え方へ移行しつつあります。

AIの進歩によって攻撃速度が劇的に向上する中、防御側も限られたリソースを最も危険な脆弱性へ集中させる必要があります。

今後は政府機関だけでなく、民間企業や重要インフラ事業者にも同様のリスクベース管理が広がる可能性が高く、サイバーセキュリティの常識そのものが大きく変わろうとしています。