Google が AI 自律防御「AI Threat Defense」発表、脆弱性管理は人間の手を離れるか

Google が「AI Threat Defense」を発表した。脆弱性スキャンから優先順位付け、パッチ適用、再監視までを AI エージェントが自律で回す クラウドセキュリティ製品だ。Google はこれを「もう人間の脆弱性管理だけでは AI 攻撃の速度に勝てない」という前提で売り込んでいる。

何を組み合わせたのか #

中身は Google が買収・育成してきた手駒の合体技だ。クラウド構成スキャンの Wiz、脆弱性修正に特化した AI CodeMender、汎用 AI エージェント Antigravity、そして APT 追跡で名を売った Mandiant の脅威インテリジェンスを統合する。複数モデルでクロスチェックして「攻撃される確率が高い順」にパッチを当て、適用後も継続監視する。要するに スキャン→トリアージ→修正→再検証 の SOC ループ全部を AI に置く構図だ。

ハッカー側から見るとどう映るか #

防御 AI 化は便利だが、攻撃者から見ると ターゲットが一様になる という意味でもある。同じ AI を皆が使えば、その AI の判定の癖、パッチ優先度のロジック、検知の盲点が事実上の「共通の弱点」になる。CodeMender が出すパッチを攻撃者側 AI が事前に試して回避ペイロードを生成する、というイタチごっこは目に見えている。

もう一つの論点は 責任の所在 だ。AI が「これは低優先度」と判定して放置した脆弱性が悪用された場合、責任は Google にあるのか、AI を信じた CISO にあるのか、まだ誰も整理できていない。「人間の脆弱性管理は有効でない」と Google が言い切ったのは、商売としては強気だが、運用者には重い宿題だ。AI 防御の自動化は止まらないが、当面は AI の判定をそのまま信じない人間のレビュー層 が、組織の最後の保険になる。