「自社のコードに潜む脆弱性(セキュリティ上の欠陥)を、どうやって効率よく発見すれば良いのか?」——セキュリティを担当するエンジニアなら、一度は頭を悩ませたことがある問いではないでしょうか。
2026年3月、AnthropicとMozillaの間で行われたセキュリティ研究が、その問いに対する答えの一端を鮮烈に示しました。AnthropicのAIモデル「Claude Opus 4.6」が、わずか2週間でFirefoxに22件のセキュリティ脆弱性(うち14件は重大度「高」)を発見したのです。この成果は、2025年1年間にFirefoxが修正した「高リスク」脆弱性の総数の約5分の1に相当します。
本記事では、この画期的な事例の詳細を解説しながら、AIによるセキュリティ検査が従来手法とどう違うのか、そして私たちエンジニアがどう向き合うべきかを、実践的な観点から掘り下げていきます。
- AnthropicとMozillaの共同研究:何が起きたのか
- Claudeが最初のバグを発見するまで20分
- Mozillaのエンジニアも驚いた「インシデント対応」レベルの規模
- 発見した脆弱性の内訳と意義
- なぜFirefoxを選んだのか:「最難関」を選んだ理由
- 世界で最も厳しくテストされたソフトウェアへの挑戦
- JavaScriptエンジンから始まった理由
- 発見された脆弱性の代表例:JITミスコンパイル
- AIによる脆弱性発見 vs 従来手法:何が決定的に違うのか
- 従来のセキュリティテスト手法との比較
- AIならではの強み:「タスクベリファイア」という革新
- レポートの質が「採用率」を左右する
- エクスプロイト開発への挑戦:発見と悪用の「コスト差」
- Claudeは「攻撃ツール化」がまだ苦手
- ただし、その差は縮まりつつある
- エンジニアチームが今すぐ取り組むべきこと
- AIセキュリティ検査を自社開発に組み込む
- AIレポートを受け取る側の準備
- 脆弱性開示プロセス(CVD)の見直し
- メリットと注意点:バランスの取れた視点で評価する
- AIセキュリティ診断の主なメリット
- 注意点・現時点での限界
- まとめ:AI×セキュリティが変える「攻防のバランス」