7月14日、Windows Latestが「Microsoft admits AI is exploiting Windows 11 bugs in hours, warns against delaying updates past 3 days」と題した記事を公開した。MicrosoftがAIによるWindows 11脆弱性の悪用が数時間単位で発生していると公式に認め、セキュリティ更新プログラムの適用を3日以内に行うよう推奨を改めた。「様子を見てから適用する」という従来のIT運用慣行が、AIを武器とする攻撃者によって完全に時代遅れになりつつある。

AIが脆弱性の悪用を「数時間」に短縮している

これまでIT管理者がWindowsの更新プログラムを数週間遅らせることは珍しくなかった。だが、その慣行をMicrosoft自身が「もはや許容できない」と宣言した。

Microsoft 365のディレクターでWindowsエンタープライズ更新を担当するJeremy Chapman氏は、Patch Tuesdayの展開にあたり次のように警告した。「リスクは現実のものだ。今年4月以降、対処された脆弱性の総数は増加し続けている」。

具体的な数字として、2026年6月にMicrosoftが発見したセキュリティ脆弱性は206件に上り、月を追うごとに増加しているという。

問題の核心は「スピード」だ。脆弱性が公開文書として記録された瞬間から、AIを活用した攻撃者はその内容を分析し、数時間以内にエクスプロイト（脆弱性を突く攻撃コード）を開発できるようになっている。更新プログラムの適用を2〜3週間先延ばしにするということは、その間ずっと既知の穴を晒したままにしていることを意味する。

MicrosoftもAIで脆弱性を検出——16件のバグと4件の重大RCEを発見

逆説的だが、Microsoftも防御側としてAIを活用している。同社が導入したMDASH（Multi-model Agentic Scanning Harness）は、複数のAIモデルを組み合わせて脆弱性スキャンを統合的に実行する基盤であり、Windows 11内で16件のバグを発見。うち4件はリモートコード実行（RCE）の重大な脆弱性だったという。RCEは攻撃者が遠隔からシステム上で任意のコードを実行できる脆弱性で、深刻度は最高レベルに位置する。

攻撃者も同様のAIツールを使っている以上、パッチ適用の「猶予期間」が事実上消滅しつつある状況だ。

推奨が「3日以内」に変更された

Microsoftは内部ドキュメントで更新展開の推奨を明示的に改訂した。

「品質更新プログラムの延期期間を3日未満に設定するよう推奨を更新した。更新プログラムの期限をゼロまたは1日、更新の猶予期間を最大2日に設定すること」
— Microsoft公式ドキュメント（Windows Latestが確認）

Windows 11では月2回の更新が行われる。第2火曜日のPatch Tuesday（セキュリティ修正が中心）と、月末の任意の累積プレビュー更新だ。コンシューマー向けPCではほぼ自動適用されるが、IT管理者はグループポリシーエディターを使って遅延設定が可能になっている。この「遅延」の慣行こそが今回の警告の対象だ。

「なぜ遅らせるのか」という問題——更新品質への不信

Microsoftがこの推奨変更を発表しながら触れていない点として、Windows Latestは「そもそも更新を遅らせる理由」を指摘している。更新プログラム自体が不安定なケースが増えているからだ。

直近の例として、2026年6月9日に配信された累積更新後、Officeアプリと連携するサードパーティ製品に障害が発生した。セキュリティ企業のCheck Pointは公式フォーラムで次のように説明している。

「新しいOfficeの更新により、インジェクションしたコードがデッドロックを引き起こし、Microsoft Officeアプリケーションが時折フリーズ・クラッシュする状態になった」
— Check Point社員によるフォーラム投稿

ゴミ箱の削除確認ダイアログが壊れる問題や、6月更新プログラム自体がインストールできなくなるバグも報告されている。

こうした品質問題への対策として、Microsoftが検討している手段の一つがホットパッチだ。現在Windows 11 Enterprise向けに再起動不要のホットパッチがテスト中だが、コンシューマー向けへの展開は未定で、Windows 11 Homeへの追加は現時点では見通しが立っていない。

「更新を遅らせたい理由はわかる。だが待つほどリスクは大きくなる」——これがMicrosoftの現在地だ。AI時代のサイバー攻撃は、パッチ公開からエクスプロイト完成までの時間を劇的に縮めており、従来の「様子を見てから適用」という運用は通用しなくなりつつある。

詳細はMicrosoft admits AI is exploiting Windows 11 bugs in hours, warns against delaying updates past 3 daysを参照していただきたい。