ブロードコム韓国、放置されたOSS脆弱性のAI攻撃リスクをAIS 2026で指摘

ブロードコム韓国の取締役であるイ・ヨハン氏が、2026年11月3日にソウルで開催された2026 AI Security Conference（AIS 2026）で「放置された脆弱性、AIハッキングの最適な標的：Spring、OSS、インフラ」と題する講演を行った。AIS 2026はDaily Securityが主催し、韓国インターネット振興院（KISA）と韓国情報保護産業協会（KISIA）が後援した。セキュリティ関係者ら約700人が参加した。

イ氏は、企業のコードベースの75％以上がオープンソースのフレームワークやライブラリで構成されていると述べた。その上で、Springでは2013年から2025年までに公表されたCVEが157件だったのに対し、2026年3月から8月までの間に211件が公表されたと指摘した。RabbitMQも2025年までの累計脆弱性が8件だったのに対し、2026年5月から10月までに112件が公表されたという。

サポート終了版の利用とAIによる修正の限界

イ氏は、Spring Bootのダウンロードの60％以上がサポート終了に達したバージョンだと述べた。また、Off-by-1 Labs（1Password）の研究として、最先端モデル2つが最近の重大な脆弱性6件に対して6,080回のパッチ適用を試み、うち17％のみが持続可能な修正と評価された事例を挙げた。

対策としてイ氏は、SBOMとSCAによるコンポーネントの特定、Spring、Java、Tomcat、NGINX、PostgreSQLといった主要フレームワークやランタイムの更新、マイクロセグメンテーションと仮想パッチの活用を勧めた。ブロードコムのTrueSourceポートフォリオとVMware vDefendを、こうした対応を支える製品として紹介した。

Daily Securityが報じた。