大企業でAIエージェントを全社展開するためには、まず「ランタイムとは何か」を知るべきである

AIの進化で「1日約300件」のOSS脆弱性が見つかる時代に

ヒラリー・ハンター氏（司会・IBM）：エージェント時代におけるセキュリティの課題を考えるにあたり、3名のゲストにお越しいただきました。まずはRed Hatのクリス・ライトさんです。

クリス・ライト氏（Red Hat）：Red Hatには約21年間在籍し、現在はCTOを務めています。長年Red Hatにいる身としては、入社当初は最新技術として注目されていた「仮想化」が、今再び脚光を浴びているのはなんだか面白いですね。

ハンター氏：まさにRed Hatのフィールドであるオープンソースの世界は、AI時代になって物凄い盛り上がりを見せていますよね。オープンソースやそのコミュニティ、さらには思考プロセスについて、昨今どのような変化が起こっているのか教えてください。

ライト氏（Red Hat）：主に2つの文脈で急速に変化しているといえます。1つ目は、ソフトウェアの構築とデリバリーの方法に変革が起こっているという、開発における変化の話です。ソフトウェア開発のライフサイクル（SDLC）が、AI-Centric（AI中心）へとシフトしています。OpenShellやOpenClawのようなプロジェクトを見れば一目瞭然ですが、本当に何もかもが信じられないスピードで進行しています。

ハンター氏：では、もう1つは？

ライト氏（Red Hat）：2つ目は、脆弱性に関する変化です。2026年4月にClaude Mythosが出現し、脆弱性スキャンによってオープンソースソフトウェア（OSS）内の脆弱性が次々と発見されています。OSSとは誰でも自由に利用できるインターネット上の公開情報なわけですが、そもそもAIモデルというのは、インターネット上のデータによって学習が行われているため、OSSの構造を理解するのが非常に得意です。だから、脆弱性を発見する能力もどんどん向上しているのです。

　私たちは現在、1日あたり約300件程度の脆弱性を発見しています。そのうち、本当にリスクが高く優先的に対処すべき脆弱性は、1日1件程度です。オープンソースコミュニティ全体で、どのように責任をもって連携し作業を進めていくかを模索しています。数百万のプロジェクトを対象に、修正パッチを提供し合って協力しているところです。正直、とても忙しいです……（笑）

ハンター氏：その文脈でいえば、Red Hatには「Lightwell」がありますよね。

ライト氏（Red Hat）：Lightwellとは端的にいえば、我々が発見したすべての脆弱性を修正し、パッチを適用するプロジェクトです。歴史的にRed Hatは、明確に定義されたプラットフォームの世界観を持っています。OSがあり、OpenShiftによるKubernetesの提供、Ansibleによる自動化、vLLMやllm-dによる推論機能があります。これらの上で、顧客が自社開発や調達を行ったり、多数のソフトウェアが動作したりしています。

　そのアプリケーション層全体の内部には、大量のオープンソースが含まれています。監査対象となったコードベースのうち、約98％はオープンソースが含まれているのです。しかも、依存関係のツリーはインターネットからダウンロードされたランダムなものであり、その責任の所在が誰にあるのかは把握していませんでした。これが今、問題となっています。

ハンター氏：Lightwellは、この問題とどう向き合っているのですか。

ライト氏（Red Hat）：お客様と協力して依存関係ツリーを取り込み、スキャンして脆弱性を特定し、本番環境にあるのと同じバージョンのパッチ適用済みコンテンツを提供しています。一般的に、オープンソースコミュニティは本番環境のバージョンよりも先を進んでいるからです。また、並行して修正内容をコミュニティに還元することで、古いバージョンに取り残されたお客様がリベースした際にセキュリティ問題が再発しないよう支援しています。

ハンター氏：外部の開発者の皆さんとは、どのように関わっているのですか。

ライト氏（Red Hat）：もし、皆さんがDaybreak（OpenAI）やGlasswing（Anthropic）のようなプログラムを通じて脆弱性のスキャン機能にアクセスできるのであれば、そのスキャン結果をもとに我々と皆さんが協力して、リスクの優先順位付けなどをお手伝いできます。我々は数百万件規模のプロジェクトを常に管理しており、それらの修正、検証、テスト、デプロイをすべて自動化する仕組みを整えています。

ハンター氏：パッチが公開されてすぐに適用できる体制は、今後は必須でしょう。会場の中には、先日のPHPの脆弱性対応で眠れなかった方も多いはずです。そんな時代に「自動化」は重要な役割を果たすでしょうね。先ほど「数百万件規模のプロジェクトを常時管理している」と話していましたが、そうなるとAI駆動の大規模デプロイメントも必要になりますよね。

ライト氏（Red Hat）：そうですね。従来なら1つのプロジェクトに数人のエンジニアが配置されますが、それでは全部で数百万人のエンジニアが必要になってしまいます。この問題は、AIなしでは解決できません。AIによる自動化は基本中の基本です。