8月6日にWordPress 7.0.3が、8月12日に7.0.4とセキュリティリリースが公開された。先日お伝えしたとおり、7月17日にはwp2shellという大型の脆弱性へのパッチ7.0.2がリリースされたばかりである。このペースは明らかにこれまでよりも頻繁である。
生成AIの性能向上によるバグハント急増
多くの読者はうすうす勘づいているだろうが、これは生成AIが原因である。the Repositoryによると、コア・コミッターのジョン・ブラックバーンが「HackerOneのバグ報告件数がここ10年ほど月20-30件だったが、先月から450件に急増した」と報告したらしい。この急増はGPT 5.3 CodexとClaude Opsu 4.6のリリース（2026年2月頃）から始まっているとのこと。
実はwp2shellの脆弱性が発見されたのも、OpenAIのSol Ultraのおかげだそうで、その費用は25ドルだった。一般に脆弱性というのはそれなりに専門知識を持った人が発見するケースが多いのだが、生成AIのパフォーマンス向上によって脆弱性発見も自動化できつつある。7.0.3や7.0.4は権限昇格系のXSSやCSRF、つまりすでにログインしているユーザーにだけ影響のある脆弱性で軽微なものではあるが、この種の脆弱性は「安価に」発見できるようになりつつある。
もちろん、報告が増加したからといって、それらの中には偽陽性（本当は脆弱ではないケース）や明らかな間違いも含まれるだろう。当然、そのレビューについても生成AIを使うなど、すくなくとも、レビュアーの負荷を減らすような仕組みが必要だ。
現在、WordPressの脆弱性報告はAIコーディングの巨大な実験場となっている。単に一人の開発者の生産性が向上したなどのレベルを超え、世界中の人に使われるソフトウェアが絶え間ないAIによる検証によってどれほど向上するのか、という挑戦と言い換えても良い。この流れは当然ながらプラグインエコシステムへと波及していくだろう。
生成AIによって加速するアップデートサイクル
また、AnthropicやOpenAIなどの生成AI企業にとって、脆弱性を発見することは自社のモデルがいかにすぐれているかを示す絶好の機会でもある。実際、AnthropicはCVEの番号付きで「自分たちが報告してきた脆弱性」を誇らしげに表示している。
要するに、生成AI企業にとっては脆弱性を指摘することに十分なモチベーションが存在するわけだ。
そうすると、生成AIによって頻繁にパッチが当てられるようになるわけだが、困るのはWordPressコアチームだけでなく、我々ユーザーもである。WordPressがしょっちゅう更新され、しかもセキュリティノートによくわからない専門的なことが書いてある。この更新頻度が我々の処理能力を超える日もそう遠くはなさそうだ。
そうなると我々にできることとしては、自動更新をオンにしておくことぐらいだ。Roots.ioのようなcomposer型の管理メソッドは今後考え方を変える必要が出てくるかもしれない。
コメントを残す