Palo Alto Networksは2026年8月4日（現地時間）、自律型の脆弱性発見・検証・報告システム「Network and Open-Source Vulnerability Analyzer」（NOVA）による調査結果を公表した。NOVAは複数の先端AIモデルや独自基盤、専門ツールを組み合わせ、オープンソースソフトウェア（OSS）のコードを自動解析するシステムだ。
OSSを3915件解析、99.4%が未報告の脆弱性
2カ月間で6つの主要なソフトウェアエコシステムにおける3915件のプロジェクトを解析したところ、1万4090件の脆弱性を確認した。公開されている脆弱性情報との照合で一致したのは85件にとどまり、全体の99.4%が未報告のゼロデイ脆弱性だった。深刻度においては、共通脆弱性評価システム（CVSS）v3.1で4030件、CVSS v4.0で5600件が「高（High）」または「緊急（Critical）」に分類された。
NOVAは、各プロジェクトの変更履歴の確認からソースコードの読解や補強抽出、実証コード（PoC）の作成、隔離環境での再現テスト、修正案の作成、情報開示資料の生成までを全自動で処理する。人間は最終確認のみを担う仕組みだ。解析対象の規模は数行から100万行超まで多岐にわたり、検出された脆弱性の言語別内訳はGoが3281件、JavaScript/TypeScriptが2836件、PHPが2740件、C/C++が1925件、Java/JVMが1784件、その他が1524件だった。
従来のファジングでは発見困難な欠陥をAIで特定
発見された欠陥の92%は、従来のファジング手法（大量のランダムなデータを送り込んでバグを探す自動テスト）が得意とするメモリ破壊や計算異常、リソース管理不足、DoS（サービス拒否）とは異なるタイプだった。主な種類としてアクセス制御や権限管理の不備、パストラバーサル、コードインジェクション、プロトタイプ汚染、SSRF（サーバサイド・リクエスト・フォージェリ）などが挙がっている。
- C/C++：メモリ安全性とリソース管理の不備
- JavaScript/TypeScript：コードインジェクションやプロトタイプ汚染
- Go：パストラバーサルやSSRF
- PHP/Java/Python：アクセス制御および権限管理の不備
また、サプライチェーンへの影響に関しても5421件を確認した。内容は、依存パッケージ内の欠陥が1280件、アプリケーション層のコードから脆弱な依存先に到達できる状態が4141件だった。後者のうち2776件については、アプリを起点としたPoCを使って実際に悪用可能であることが実証された。単一の小さな部品の欠陥であっても、多数の製品へ波及するリスクが浮き彫りとなっている。
複数AIモデルの協調と隔離環境での自律検証
NOVAの設計は単一モデルに依存せず、複数のモデルやエージェントに役割を割り当てて協調動作させる構成をとる。「対象と方向の策定」や「コードの並列解析」「実証コードの作成」「隔離環境での再現」「公開可否の判定」など、各フェーズに最適なモデルを配置した。14件のプロジェクトを用いた比較実験では各モデルに異なる欠陥が多数発見された。最も多くの欠陥を検出したモデルは235件（うち185件は他モデルで未発見）を特定し、最も少ないモデルでも139件（うち93件が固有）を確認した。
候補となる脆弱性は指示のみで採用せず、独立検証や再現試験、修正の有効性確認、防御策の生成を経て最終決定される。処理を実行する隔離環境には、コンテナ技術やgVisor型の軽量サンドボックス、仮想マシン（VM）、外部通信制御、最小権限原則が採用されている。
防御への即時反映と今後のセキュリティ対策
同社はLightwellやAkritesなどの調達ツールや各種ソフトウェアのメンテナと連携し、情報の適正開示と上流（アップストリーム）での修正を促している。脆弱性が修正、公開されると、同社の次世代ファイアウォールやSASE製品の機能である「Advanced Threat Prevention」へ速やかに防御シグネチャが追加される。さらに「Advanced Virtual Patching」を通じて、ベンダーによる正式なパッチ適用前であっても数時間以内に防御策を配信する。従来型パッチの適用までに平均55日を要する現状に対し、脆弱性が露呈する期間を限りなくゼロへ近づける狙いだ。
AI技術によって脆弱性の発見から実証、検証までの時間が大幅に短縮されたことで、攻撃者も最新モデルを使わずとも修正差分から攻撃手法を自動生成できるようになると懸念されている。同社は今後必要な対策として、統合された脆弱性管理、ゼロトラスト思考に基づくネットワーク設計、サプライチェーン全体の保護、攻撃面の削減を提唱している。自律型システムの「速度と適用範囲」に、人間の「判断力と優先順位付け」、迅速な緩和策を組み合わせ、脆弱性発覚後の応答体制を強化することが重要だと強調した。
