テクノロジーメディアgigazineは同日、開発者@0x_Ospreyがウェブ版CVE Trackerを制作し、すでにCVE番号を付与された脆弱性の件数変化を可視化したグラフを公開したと伝えました。このグラフは、2026年以降に見られるほぼ垂直に伸びる曲線を明確に示しています。
CVEは世界共通の脆弱性識別番号体系であり、セキュリティ研究者やソフトウェアベンダー、企業が欠陥を追跡・報告・修復する際に活用しています。CVE Trackerはこれらの公開記録を整理してトレンドグラフにまとめるとともに、主要なAIモデルの公開時期も丁寧に重ねて表示しており、脆弱性の発見ピークとモデルの登場時期に相関があるかどうかを一目で確認できるよう工夫されています。（なお、当該サイトは現在、ダークモードのみのインターフェースとなっています。）
注目すべき点は、AI企業がモデルを正式に公開する前に、テスト版を使って事前に脆弱性を探り、報告することがしばしばあるという事実です。そのため、モデルが正式にリリースされるタイミングが、必ずしも脆弱性急増の節目に一致するわけではないということです。
報告が増えても、システムがより危険になるわけではない
gigazineの見解では、AIはセキュリティ研究の「増幅器」として機能していると考えられます。AIはコードをより迅速にスキャンし、異常を再現し、報告書にまとめるため、人手では通常対応しきれないソフトウェアの隅々まで調査範囲を広げています。効率が向上する一方で、発見件数も自然と増加するのです。
しかし、同時にこうした報道には冷や水を浴びせる指摘もあります。すなわち、「脆弱性がより多く発見される」という事実は、必ずしも「システムがより危険になる」ということにはならないという点です。報告件数の増加は、真のリスクを明らかにする場合もあれば、質の低いものや重複したもの、あるいは検証困難なノイズを混入させてしまう可能性もあり、結果としてオープンソースのメンテナーやセキュリティチームの負担をさらに増大させる要因にもなり得ます。AIによって脆弱性発見のハードルが引き下げられた今、いかにして真偽を見極め、大量の報告に埋もれることを防ぐかが、新たな課題となっています。