MicrosoftがAIで16件のWindows脆弱性を発見

「MDASH」と呼ばれる100以上のAIエージェントを連携させた新システムが、Windowsネットワークスタックの深部から4件のクリティカルRCEを掘り出した。脆弱性発見は、もう人間の手作業ではない。

100のAIエージェントが脆弱性を狩る

MicrosoftがMDASH(エムダッシュ)と呼ばれる新しい脆弱性発見システムを公開した。100以上の専用AIエージェントを協調動作させ、Windowsのネットワークスタックと認証系から16件の未知の脆弱性を見つけ出したという。

うち4件はクリティカル評価。すべてリモートコード実行に至る欠陥で、WindowsカーネルのTCP/IPスタックやIKEv2サービスといった、企業環境に広く配備されているコア部分を撃ち抜く。発表は5月12日のPatch Tuesday(米国時間)と同時で、該当する欠陥は4月と5月のセキュリティ更新で順次パッチが配布されている。

MDASHを開発したのは、Microsoftの「Autonomous Code Security」(自律コードセキュリティ)チームと、Windows攻撃研究・防御を担う「WARP」チームの合同部隊だ。リーダーを務めるのはテス・キム(Taesoo Kim)。ジョージア工科大学から休職し、Microsoftで副社長(エージェント型セキュリティ)を務めている。彼は2025年の「DARPA AI Cyber Challenge」でファイナル賞金 400万ドル を獲得したTeam Atlantaの中心人物だった。

モデルではなく「仕組み」が成果を出す

MDASHが従来のAI脆弱性スキャナと一線を画すのは、単一モデルに依存しない設計にある。

仕組みは段階的なパイプラインだ。準備段階でソースコードを解析し、攻撃面と脅威モデルを描く。スキャン段階で専用のオーディター・エージェントが疑わしいコードパスを洗い出す。次の検証段階では別のエージェント群が「ディベーター」として、見つかった候補が本当に到達可能で悪用可能かを議論する。最後の証明段階で、実際にバグを再現する入力を構築してから人間のエンジニアに引き渡す。

「モデルは入力の一つにすぎない。システムこそが製品だ」
──テス・キム(Microsoft副社長、エージェント型セキュリティ)

この設計思想が効いている。100以上のエージェントはそれぞれ役割を持ち、特定モデルに縛られない。新しいフロンティアモデルが登場すれば設定を切り替えてA/Bテストするだけで、これまでの投資──スコープファイル、プラグイン、調整──は引き継がれる。モデル世代をまたぐ移植性が、このアーキテクチャの本当の価値だ。

Microsoftの内部ベンチマークも具体的だ。21個の脆弱性を意図的に埋め込んだ非公開のテストドライバ「StorageDrive」に対し、21件すべてを誤検知ゼロで発見した。過去5年分のMicrosoft Security Response Centerの実例では、clfs.sysで96%、tcpip.sysで100%の再現率を出した。

単一モデルでは見えないバグ

具体的に何を見つけたのか。MicrosoftがブログでケーススタディとしてCVEを2件挙げているが、これらは単一モデルのスキャナでは捕まえにくい構造を持つ。

CVE-2026-33827はWindows IPv4スタックの解放後使用(UAF)で、Strict Source and Record Route(SSRR)オプション付きパケットで到達できる。問題は、参照カウントされたパスオブジェクトの寿命管理だ。関数内で参照を解放した後、同じポインタを再利用する経路がある。同関数内に「正しい順序」と「壊れた順序」が両方存在し、その不整合が決定的な手がかりになる。

単一モデルのスキャナがこのバグを見落とすのは、寿命違反が局所的に見えないからだ。解放と再利用は条件分岐や検証チェックで隔てられ、参照所有権を中間状態にまたがって追跡しない限り、ただの独立した2つの操作にしか見えない。

もう一件のCVE-2026-33824はIKEEXTサービスの二重解放で、RRAS VPN、DirectAccess、Always-On VPNとして稼働するホストに、UDP/500ポート経由で認証なしに到達する。サービスはLocalSystem権限のsvchost.exe内で動作するため、事前認証なしに最高権限の奪取まで至る経路になっていた。

このバグは6ファイルにまたがる別名(エイリアス)ライフサイクルの問題で、単一ファイルの解析では絶対に見えない。決定的なのは、同じコードベースの別の場所に「正しいパターン」が存在することだ。エージェントは正しい実装を参照点にして、欠落した一手を別の場所で検出する。Microsoftのオーディター・エージェントとディベート段階は、まさにこの比較を引き出すために組まれている。

なぜ今、Microsoftが急ぐのか

MDASHの登場は、4月にAnthropicが発表した「Project Glasswing」のわずか1か月後にあたる。GlasswingはClaude Mythos Previewモデルを使った業界横断の脆弱性発見イニシアチブで、Microsoftも参加企業の一社だ。

つまりMicrosoftは、Anthropicのモデルを利用する立場と、自社で同等のシステムを構築する立場を同時に取りに行った。グレイハウンド・リサーチのチーフアナリスト、サンチット・ヴィール・ゴギア(Sanchit Vir Gogia)はこう指摘する。

「Microsoftは今やプラットフォーム所有者であり、セキュリティベンダーであり、AIインフラ事業者であり、OpenAIのパートナーであり、Mythosの統合先であり、エージェント型セキュリティの供給者でもある。手強いポジションだが、影響力の集中でもある。セキュリティ責任者はそれを冷徹に見つめる必要がある」

この見方は的を射ている。AIによる脆弱性発見がスケールするとき、誰が「発見の蛇口」を握るかは、業界全体の力学を左右する。

「発見」のあとに残された問題

ただし、MDASHの成果を素直に喜べない事情もある。

Anthropicは4月、Mythos Previewが数千件もの高深刻度脆弱性を発見したと報告した。27年前から残っていたOpenBSDの欠陥、長年検出できなかったFFmpegの問題などが含まれる。しかし複数の独立報道によれば、発見された脆弱性のうち修正されたのは 1%未満 だった。エコシステム側の修正能力が追いついていない。

ビーグル・セキュリティのアドバイザー、スニル・ヴァーキー(Sunil Varkey)は、状況をこう表現する。

「AI対AIの脆弱性発見レースが始まった。勝者は最高の静的スキャナを持つ組織ではない。エージェント型システムを自社コードに対して最速で回し、機械の速度で修正できる組織だ」

「機械の速度で修正」という部分が重い。多くの企業はまだ、機械生成された脆弱性発見を運用に乗せるガバナンス成熟度を欠いている。スキャンの結果がトリアージのバックログを膨らませるだけなら、ダッシュボードが増えるだけで耐性は上がらない。

ゴギアも同じ点を強調する。「発見に修正の規律が伴わなければ、それはただの演劇だ」。

公開ベンチマークでの実績

MDASHは公開ベンチマーク「CyberGym」でも結果を出している。1507件の実世界の脆弱性再現タスクに対する成功率は 88.45% で、リーダーボード首位、2位を約5ポイント引き離している。

ただしMicrosoft自身が注釈を加えている。「CyberGymはシグナルであって、購買判断ではない」。リーダーボードの数字が、企業環境での実用価値をそのまま意味するわけではない。

それでも、これがすべて「汎用的に入手可能なモデル」で達成されている点は注目に値する。MDASHが見せたのは、特定の超高性能モデルがあれば解決する問題ではなく、エージェントの組み合わせと検証パイプラインの工夫で道が開く、という事実だ。

防御者のための公開準備

MDASHは6月から、エンタープライズ顧客向けのプライベートプレビューに入る。先行アクセスは枠が絞られているが、ヴァーキーは「早期アクセスは『あれば嬉しい』ではなく、AI時代の防御の必需品になりつつある」と話す。

脆弱性管理は周期的なスキャンから連続的な自動化へ、確実にシフトしつつある。MDASHが照らし出したのは、定期スキャンを脱却して、発見・検証・封じ込め・修正を一つの統制された動作にまとめる必要性だ。

問題は、その動作の速度に組織が追従できるかどうか。AIが見つけたバグを放置すれば、攻撃者が先に拾うだけだ。

参照元

• Microsoft Security Blog - Defense at AI speed

関連記事

• Anthropic、Mythos級モデルの一般公開方針を表明
• AnthropicのMythos、curlで見つけた脆弱性はたった1件
• Claude Mythosが越えた一線、サイバー攻防の新段階
• AnthropicのClaude Mythosが「すべての主要OS・ブラウザ」で数千のゼロデイ脆弱性を発見、危険すぎて一般公開せず
• Defenderの新たなゼロデイ「RoguePlanet」、月例パッチ当日に投下
• AnthropicがNSAにエンジニアを常駐させていた
• Windows Serverの認証基盤に深刻な穴
• Windowsゼロデイ6件、業界が問うMSRCの崩壊
• Project Glasswing、1ヶ月で脆弱性1万件超を発見
• Mythosの脅威情報、Anthropicが外部共有を解禁