10月22日、Jason Koeblerが「AI Is Changing Everything About Hacking. No One Knows What Happens Next」と題した記事を公開した。フロンティアAIモデルに「find bad vulnerabilities in PHP」と入力するだけで、インターネット規模の重大脆弱性が独自に再発見できてしまった——この衝撃的な事実を軸に、AIがハッキングと防御の両面を根本的に変えつつある現状と、「Black October」と呼ばれる前例のない事態の全貌を詳細に報じている。
「find bad vulnerabilities in PHP」と入力するだけで見つかった脆弱性
今回の騒動の震源地となったのが、PHPの重大脆弱性「PHP2Shell」だ。Wiz、Calif、OpenAIの研究者がAIを使って発見したこの脆弱性は、インターネット上の膨大な数のWebサイトに影響を与える。PHPは全Webサイトの約75%以上で使用されているサーバーサイド言語であり、その規模感が今回の深刻さを物語っている。
最も衝撃的なのは、ChainguardのCEO Dan Lorencが「フロンティアAIモデルに『find bad vulnerabilities in PHP』と入力するだけで、同じバグを独自に発見できた」とLinkedInに投稿したことだ。セキュリティ専門家でなくとも、適切なプロンプトひとつで重大脆弱性の発見に近づけることを示した事例として、業界に大きな衝撃を与えた。
Amazonは公式開示前にすでにエクスプロイト試行を検知していたと報告。CloudflareのCEO Matthew Princeは次のように投稿している。
「PHP2Shell」が公式発表される10時間前から、Cloudflareのネットワーク上で数千件の悪用試みを観測した。発表後45分で数万件、2時間後には数十万件、その後は数百万件に達した。
NSA、日本の首相、各国政府がただちにパッチ適用を呼びかけ、4chan、複数のWikimediaサービス、Archive.orgが一時オフラインになった。
「Black October」とは何か
「Black October」とは、このPHP2Shell騒動が起きた2025年10月に、複数の重大脆弱性が短期間に集中して発覚・悪用された事態を指す業界内の通称だ。単一の脆弱性による被害ではなく、AIを活用した脆弱性探索の加速が引き金となって連鎖的に表面化したという点で、従来のセキュリティインシデントとは性質が異なる。過去にもlog4Shell（2021年）やHeartbleed（2014年）のように単発の重大脆弱性が世界を揺るがした例はあったが、「Black October」はAI時代の新しいリスクパターンとして位置づけられている。
AIは「すべてのドアのノブを回す」ツールになった
記事の著者Jason Koeblerは、AIがハッキングにもたらした変化を次のように整理する。
すべてのソフトウェアを「ドア」に例えるなら、AIはあらゆるビルのすべてのドアのノブを回して、鍵がかかっていないか確認することを極めて容易にした。これまで人間が試すことさえしなかったビルも含めて。そして今わかりつつあるのは、鍵がかけやすいものが多いだけでなく、一部はドアが完全に開けっぱなしか、壁に大穴が空いているということだ。
Johns Hopkins大学の著名な暗号学者Matthew Greenはこう投稿している。
「インターネット全体が乾いた火口箱であり、ティーンエイジャーがまだマッチを見つけていないという事実だけで燃えずに済んでいる」
Trail of BitsのCEO Dan Guidoは、自社エンジニアがOpenAIのCodexを使い1日で動作するエクスプロイトを構築したと発表。一方でこう述べている。
「バグをシェルに変える方法を知るにはまだ専門知識が必要だ。AIはその専門知識をより生産的にする」
つまり、AIはハッキングを「誰でもできる作業」に変えたわけではなく、熟練者の生産性を劇的に高めるツールとして機能している、というのが現時点の評価だ。タイトルにある「入力するだけで」という表現は象徴的な事実を指しており、実際の悪用には依然として専門的な判断力が求められる点は補足しておきたい。
「簡単なエクスプロイトは存在しない」投稿がHacker Newsで解剖される
一方、「There isn't an easy exploit for this PHP vulnerability」というブログ投稿が急速に拡散し、Hacker Newsで活発な議論を呼んだ。投稿者Elias Taylorについて、サイトが最近登録されたことなどから「何者か」を疑う声が上がったが、404 Mediaがシグナルで本人に連絡を取ったところ、次のコメントを得た。
「LLMが渡したものを読んで理解できないために、持っていないエクスプロイトを持っていると思い込んでいる人が多い。log4jやHeartbleedのような『世界を止める』脆弱性ほど悪用しやすくはないようだ。ただしパッチは当てるべきだ。脆弱性は存在する」
log4jは2021年にJava製ロギングライブラリに発見されたリモートコード実行の脆弱性で、世界中のサーバーが影響を受けた。Heartbleedは2014年にOpenSSLで発覚し、暗号化通信の秘密鍵や個人情報が漏洩するリスクをもたらした。いずれも「発見後ただちに大規模悪用が可能だった」という点でPHP2Shellとの難易度比較の文脈で引き合いに出されている。
「Black October」が示す構造的問題
PHP2Shell以外にも、この時期にeMudhra（インドの証明書機関）、Node.js、GitLab、Plex、Railway、OpenCodeなど複数のサービスで重大な脆弱性が相次いで発見された。
OpenAIは一連の発見について、「AIがインターネット規模の影響を持つセキュリティ欠陥を発見できることを示したが、同じ能力が攻撃者の攻撃ツール開発を加速させることもある」と認めている。
根本的な問題は技術ではなく、6年前に退職した担当者が設定したまま誰も更新していないシステムが世界中に存在するという現実だ。AIはそれを可視化するスピードを上げているに過ぎない。
The Atlanticはすでに、「PHP2Shellの最大の影響は、更新できない歴史的なWebサイトが永久にオフラインになること、すなわちリンク切れによる歴史の消滅かもしれない」と指摘している。
今後どうなるか、誰も分からない
10年以上セキュリティを取材してきた著者自身が「何が起きているのか完全には把握できていない」と率直に認めている点は重要だ。AI時代のハッキングは、専門家にとっても予測が難しい段階に入っている。
詳細はAI Is Changing Everything About Hacking. No One Knows What Happens Nextを参照していただきたい。
