2026年8月14日、中国のAI企業である智譜（Zhipu AI / Z.ai）は「2436」という数字を公表した。これは前世代モデルGLM-5.2以降、同社のAIモデルと複数のセキュリティチームが協力し、269の実稼働ソフトウェアプロジェクトから一つずつ確認・特定したセキュリティ脆弱性の総数である。そのうち1,097件は高危険度（High以上）に分類されている。最も古い脆弱性は1981年に記述されたコードから発見された。1981年といえば、IBMが最初のパーソナルコンピュータ（IBM PC）を発売した年だ。つまり、この脆弱性は多くの読者の年齢よりも長く、45年近くにわたりソフトウェア内に潜んでいたことになる。
45年間も潜んでいた脆弱性と聞くと都市伝説のように思えるが、その理由はきわめて現実的だ。現代のソフトウェアは一度にゼロから作られるわけではなく、歴史ある老朽建物の改修に似ている。基礎は数十年前に作られ、後世の開発者は壁面のリフォームや配管の追加を行うだけで、耐震構造や耐力壁には誰も手を触れようとしない。OSのカーネルやブラウザエンジンといった大型ソフトウェアは数千万行のコードで構成され、何十年にもわたり数百人のプログラマーの手を経て改修されてきた。古いコードベースには「動いているなら触るな」という暗黙のルールが存在する。一箇所を誤って修正すれば、それに依存する世界中のシステムが連鎖的に停止するリスクがあるからだ。その結果、一度も実行条件がトリガーされなかった欠陥が世代を超えて受け継がれてきた。Zhipu AIの統計によれば、今回発見された脆弱性の平均潜伏期間は26.6年に達する。2021年末に世界中のIT部門を夜間対応に追わせたLog4jの脆弱性も、ライブラリの奥深くに長年隠されていた問題であり、違いはハッカーが先にそれを見つけた点だけだった。
これらの脆弱性が今まで発見されなかった最大の理由は、人間の目による監査の限界にある。世界中のオープンソースソフトウェアのコード量は数百億行に達しており、どれほど優秀なセキュリティチームであっても毎年すべてを精査することは不可能だ。一方、AIによる脆弱性診断はアプローチが根本的に異なる。AIはコードを「読む」だけでなく、実際に「試す」ことができる。ソースコードを読み込むと、モデルはエッジケースとなる様々な入力を生成して異常動作を誘発させる。これはドアの鍵を点検する際、鍵穴を観察するだけでなく、実際にドアノブを回してドアが開くかどうかを確認する作業に似ている。Zhipu AIは「脆弱性発見」を学習項目に組み込み、コードを解読し、疑わしい箇所を特定し、それが実際に悪用可能（Exploitable）かどうかを検証する訓練をモデルに課した。発見された2,436件の脆弱性は、OSカーネル、ブラウザエンジン、オープンソースインフラ、ネットワークプロトコルなど、現代のインターネットを支える「基盤」に広く分布している。
ここで、AIの挙動は開発者の当初の意図を超え始めた。Zhipu AIの公式ブログによれば、学習における当初の目的は「脆弱性の発見と推論能力の向上」に過ぎなかった。しかし学習規模を拡大するにつれ、モデルは単一の欠陥を見つけるだけでは満足せず、複数の段階を跨いで推論を行い、完全な攻撃チェーン（Attack Chain）の計画を立案し始めたのである。わかりやすく言えば、「このドアの鍵がかかっていない」と気づく段階から、「部屋に侵入した後、廊下を通り、二つ目の鍵をどう解錠するか」を推論するレベルへと進化した。同社はこの現象を「創発（Emergence）」と表現している。サイバー攻撃の手順を意図的に教えたわけではなく、トレーニングの過程で自発的に生じた能力であり、「想定よりも遥かに早く現れた」という。最も急速に成長したのが、これまで最も遅れていた攻撃チェーンの立案能力であった点が、セキュリティ業界に期待と緊張の両方をもたらしている。
図：サイバー攻防ベンチマークにおける GLM-5.3 と GLM-5.2 のスコア比較。出典：z.ai
さらに直感に反するのは、この能力向上をもたらした要因だ。GLM-5.3とGLM-5.2はまったく同じベースモデル（同じ「頭脳」）を使用している。すべての進歩は、業界で「事後学習（Post-training）」と呼ばれるフェーズの拡張によるものだ。より多くのリアルなタスク、長い学習時間、そして大規模な計算資源が投入された。公式発表でも「GLM-5.3に対して行ったすべての施策は、事後学習のスケールを拡大することだった」と明言されている。その成果は顕著であり、PCコマンドラインでの自律的な作業能力を測定するTerminal Bench 3.0ではスコアが4.6から28.3へと約6倍に急増。脆弱性悪用テストExploitBenchでは24.4%から54.4%へ向上し、社内プログラミングテスト全体の成績も50%引き上げられた。大規模言語モデル（LLM）の競合軸が、「より大きな頭脳を作ること」から「同じ頭脳をどれだけ深く鍛え上げるか」へと移行していることを示している。
図：GLM-5.3 と主要モデルによるプログラミング・サイバー攻防・汎用タスクの対比成績。出典：z.ai
事後学習のスケールアップは、もう一つの副産物をもたらした。同じ精度の成果を出すために必要な「思考量（推理計算量）」が減少した点だ。社内テストにおいて、同じ完了率を達成するのにGLM-5.3が消費した推理計算量はGLM-5.2より約2割少なかった。また「高計算量」設定においては、競合モデルの半分以下の思考量でより高い完了率を達成している。一般ユーザーにとって、これは同一モデルであっても、より高速でコスト効率に優れた応答が低価格なAPI利用料で提供されることを意味する。
図：Z.ai 社内プログラミングテスト：同一成績達成時における GLM-5.3 の思考計算量削減。出典：z.ai
業界の視点から見て最も注目すべき数字は、発見された2,436件のうち、現時点で修正が完了し公開（情報開示）されたのはわずか53件にとどまり、残り2,383件は現在も非公開の修正プロセス中にあるという事実だ。AIによる脆弱性発見スピードが人間の修正スピードを完全に上回っており、セキュリティチームの対応待ちが発生した結果、開示プロセス自体が新たなボトルネックとなっている。しかし見方を変えれば、これは大きな前進でもある。過去数十年間にわたり発見すらされなかったゼロデイ脆弱性が、少なくとも修正キューに並ぶようになったからだ。公開情報から判断すれば、修正と開示のプロセスが追いつく限り、AIによるコード監査は防御側にとって長期的に大きなメリットとなる。
Zhipu AIはこの能力が持つ二面性を否定していない。脆弱性を発見できるモデルは、本質的にその脆弱性を悪用する能力も備えているからだ。このため、同社は安全性の評価と補強期間として、モデル重みのオープンソース公開を2週間延期すると発表した。この2週間の猶予がコミュニティで最も議論を呼んでいる。攻撃チェーンを立案できるモデルをオープンソース化することは、実質的に強力な兵器を不特定多数に配布するようなものであり、悪用リスクが極めて高いという懸念がある。一方で、世界のオープンソースソフトウェアは慢性的かつ深刻な監査人員不足に直面しており、防御側こそAIによる自動診断ツールを切望しているという反論もある。既存コードの全件体検を可能にし、修正を早めることこそが一般ユーザーの安全につながるという意見だ。また、「オープンウェイト」は現時点では予告に過ぎず、発表当日にダウンロード可能なモデルファイルは提供されず、2週間は有料APIのみが提供されるという指摘もある。評価を先行させ、その後にオープンソース化するという判断は、Zhipu AIが双方の懸念の間で取った折衷案と言える。
なお、こうしたサイバー攻防能力は中国企業特有のものではない。より難易度の高い攻撃チェーンのベンチマークにおいて、閉鎖型（クローズド）モデルのAnthropic Fable 5およびGPT-5.6 Solは依然としてリードを保っている。6時間の制限時間タスクにおいて、両モデルはそれぞれ247件および293件を達成したのに対し、GLM-5.3は130件であった。「AIのサイバー攻撃・防御能力の向上」は世界のフロンティアモデルに共通する潮流であり、Zhipu AIはオープンウェイト陣営の中で最も激しく追随しているプレイヤーの一社に過ぎない。能力が最も急成長している分野こそ、元々の格差が最も大きかった分野である——この法則は、攻撃と防御の両面において成り立っている。
参考リンク：
- Z.ai 公式ブログ：GLM-5.3 発表アナウンス「Frontier Coding with Emergent Cyber Capabilities」
- Hacker News 議論（item?id=49294997）
- Axios：Zhipu AIがハッキングリスク懸念によりGLM-5.3のオープンソース公開を延期
- VentureBeat：GLM-5.3 発表報道（Cursorの脆弱性を含む）
- Z.ai セキュリティ開示台帳（Security Disclosure Ledger）
