レッドハット、フロンティアAI時代の脆弱性対策を発表──IBMと共同のOSS修正パッチサービス「Lightwell」の役割とは

　レッドハットは2026年10月29日、東京都内で記者説明会を開き、AIによる脆弱性の発見と悪用が加速するなかでの企業のセキュリティ対策を説明した。個別のCVEをなくす「ゼロCVE」から、悪用されやすさと被害の大きさで対処方法を選ぶ「リスクベース脆弱性管理（RBVM）」への転換を訴え、IBMと共同で提供するOSS向け修正パッチサービス「Lightwell」を軸とした対応を示した。

　Red Hat 製品セキュリティ担当 バイスプレジデントのヴィンセント・ダネン氏は、AnthropicのMythosに代表されるフロンティアAIの登場を「Mythosモーメント」として話を始めた。Anthropicが5月22日に公表した「Project Glasswing」の初期アップデートでは、1,000以上のOSSプロジェクトのスキャンで23,000件超の脆弱性が見つかり、うち6,200件超でレベルが高またはクリティカルだったという。2月にMythos Previewを使い始めてから約3ヵ月の成果だ。公開から悪用までの平均日数を示すZero Day Clockは、2026年の値がマイナス1.1日。同氏は、実際にはマイナス7日、つまり公開の7日前にすでに悪用されているとの見方を示した。

　一方で、Red Hat製品への影響は限定的だ。2025年は5,477件の脆弱性のうち悪用が確認されたのは9件（0.16％）、2026年は10月までの12,776件のうち9件（0.1％）にとどまる。それでも同氏は「現在の統計に安心感を得るわけにはいかない」と述べ、攻撃者は設定ミスや窃取した認証情報、巧妙なフィッシングにも頼り続けていると指摘した。パッチを当てれば済むという前提そのものが全体像を見落としているとして、多層防御の必要性を強調した。具体策には、ハードニング済みイメージによる不要なソフトウェアの削除、SBOMによる依存関係の棚卸し、パッチ公開から本番反映までの時間の計測を挙げる。

　Red Hat アジア太平洋地域担当 最高技術責任者（CTO）のヴィンセント・カルデイラ氏は、Zero Day Clock Observatoryのデータを引き、今年はゼロデイ脆弱性の悪用が155％、潜在的な脆弱性の数が315％増えたと説明した。これがCISOの課題を3つ生んでいるという。1つめはリスクの捉え方で、目標はすべてのCVEの修正ではなく、システム全体の構造的リスクの低減にある。2つめはガバナンスで、規制当局が優先順位付けと修正の証拠を求める流れが強まり、サプライチェーン対策の効果を示す必要が出てきた。3つめは運用面で、すべての脆弱性に対処する運用チームのアラート疲れが深刻化しており、安定性とイノベーションを損なわずに自動化を進めなければならない。

　こうした状況を背景に、同氏は既知の脆弱性がゼロの状態を目指すゼロCVEの考え方に異を唱えた。「ゼロCVEは正しい考え方ではない。動くターゲットであり、組織を終わりのないコンプライアンスの義務に向かわせて、本当に対処すべき脆弱性が後回しになりがちだ」と同氏は語る。スキャナーが静的なデータとCVSSスコアだけで修正対象を示している点も、問題だとみる。

　代わりに掲げるRBVMは2層構成だ。1層目は、脆弱性が実際に悪用可能かを示すVEX（Vulnerability Exploitability eXchange）データで対処対象を絞り込む優先順位付け。2層目は、脆弱性を完全には防げないことを前提に、各層で被害範囲（ブラスト半径）を狭める多層防御になる。SBOMやVEXの生成、署名、GitOpsによる展開を自動化する「トラステッド・ソフトウェア・ファクトリー」も、その一環として紹介した。

　レッドハット 代表取締役社長の三浦 美穂氏は補足として、同年7月にIBMと発表したLightwellの位置づけを説明した。OSSには、同社のようにサポートを付けて提供する形と、アップストリームのコミュニティが提供する形がある。Lightwellが担うのは、誰もサポートを保証していない後者の領域だ。コミュニティの修正は基本的に最新版が対象で、10年前のJavaやPythonのようにサポートが切れたバージョンは直されにくい。米国の大手銀行などで、自社環境の点検から誰も直していない脆弱性が見つかり、「誰が直してくれるのか」との声が出たことが背景にあるという。

　対象はJava（Maven）、Python（PyPI）、JavaScript（npm）のライブラリで、IBMとレッドハットの2万人超のエンジニアが修正を提供する。提供形態は2つある。「Lightwell Clearinghouse」は、顧客が使うOSSの脆弱性を提出すると、旧バージョンであっても優先度に応じて修正が行われる会員向けの提供サービス。「Lightwell Network」は、他の顧客の要望で蓄積した検証済みパッチを、自らは新規リクエストを出さずに利用できる形態だ。ビルドはSLSAのレベル3に沿い、ArtifactoryやNexusといったリポジトリプロキシ経由で既存のCI/CDパイプラインを変えずに導入できるとしている。両社は、広く使われているJavaライブラリで、これまで見つかっていなかった400件超の脆弱性を特定して修正したと発表している。Lightwell担当バイスプレジデント兼ゼネラルマネージャーのグンナー・ヘレクソン氏は、プレスリリースで「肝心なのは、本番環境で稼働しているアプリケーションに修正を直接バックポートし、お客様にセキュリティとアップタイムのどちらも犠牲にさせないことだ」とコメントしている。

　他社の類似サービスとの違いとして、三浦氏は3点を挙げた。1点目は、旧バージョンにも修正を提供するバックポートで、最新版へ上げられない環境でもパッチを適用できる。2点目は、自社製品で25〜30年続けてきた修正の技術と基準をOSSにも適用していること。3点目は、公開前のパッチ提供である。かつては脆弱性の発見から悪用まで1〜2年かかったが、いまはAIを使った攻撃がすぐに来る。公開時点で修正済みにできる利点は大きいと同氏は話す。資料によると、AIが検知したゼロデイ脆弱性には一般公開前に14日間のエンバーゴ期間を設ける。修正は上流のコミュニティにも提供し、採用されれば自社版にも反映するため、フォークの乱立やコミュニティとの乖離は起きないとした。

　導入を検討する企業向けには、Lightwellのパッチが自社のSBOMやライブラリにどれだけ合致するかを調べる「Lightwellカバレッジ診断サービス」を無償で提供する。「野良のOSSは使っていないと言う企業も、知らずに使っている」と三浦氏。まずリスクを実感したうえで対策につなげたい考えだ。診断はライブラリ定義ファイルから行い、ソースコードの提供は不要だという。あわせて、レッドハットのサービス部門が約2週間でプラットフォームのセキュリティ、デリバリーの俊敏性、サプライチェーンのレジリエンスを診断する「Secured Platform Assessment」も用意する。