テックメディア gigazine は当日、開発者 @0x_Osprey が Web 版の CVE Tracker を作成し、すでに CVE 番号を取得した脆弱件数の変化を可視化チャートに描いたと報じた。それにより、2026 年以降のほぼ垂直に上昇する曲線がはっきりと示されている。
CVE は世界的に共通の脆弱性番号体系であり、セキュリティ研究者、ソフトウェアベンダー、企業のいずれもこれによって脆弱性の追跡、報告、修正を行っている。CVE Tracker はこうした公開記録をトレンドグラフに整理し、さらに主要 AI モデルの発表時期を重ね合わせることで、脆弱性発見のピークとモデルの登場との間に呼応関係があるかどうかをひと目で把握できるようにした。（同サイトは現在、ダークUIのみ。）
注目すべきは、AI 企業がモデルの正式リリース前にテスト版を使って脆弱性を早期に探索・報告することが多いため、モデルの公開時期が必ずしも脆弱性急増の時点と一致するとは限らないことだ。
報告が増える＝システムがより危険になったわけではない
gigazine の見立てはこうだ。AI はセキュリティ研究の"アンプ"として機能している——コードをより速くスキャンし、異常を再現し、報告にまとめることで、人手では手が回らなかったソフトウェアの隅々まで調査対象に引き入れている。効率が向上する一方で、発見件数も当然ながら増加する。
しかし報道は同時に、冷静な指摘も加えている。脆弱性が"より多く発見される"ことは、システムが"より危険になった"ことと等しくない。報告の増加は、真のリスクを明らかにする可能性もある一方、低品質・重複・検証困難なノイズを伴い、逆にオープンソース保守者やセキュリティチームのトリアージ負担を重くする可能性もある。AI が脆弱性発見のハードルを平準化するなか、真偽を見極め、膨大な報告に埋もれるのを避けることが、新たな課題となっている。