【セキュリティ】わずか25ドルのAPI代で5000万円価値のWordPress未公開RCEバグをLLMが発見！「ゼロデイ量産時代」「AIコード監査」

1. わずか25ドルのAIコストでゼロデイRCEを発見した背景

世界中の全Webサイトの40%以上を駆動する巨大変換オープンソースCMS『WordPress』のコアソースコードに対し、最新のLLMを用いた自動脆弱性スキャン実験が行われました。

セキュリティリサーチャーは、わずか25ドル程度のクラウドAPI利用料のみで、過去数年間の人間によるコード監査をくぐり抜けてきた極めて危険な「遠隔コード実行」バグの特定に成功しました。

裏社会のエクスプロイトブローカー市場において50万ドル（約7,500万円）以上の報奨金で取引されるレベルの価値を持つ未公開ゼロデイが、ポケットマネー程度のコストで発掘された事実は、全米のセキュリティ業界を驚愕させました。

2. 記事を読み解くための主要なサイバーセキュリティ・LLM解析用語解説

本実験の技術的コアは、単なるテキスト検索ではなく、PHPにおける入力変数（`$_POST` や `$_GET`）のバリデーション回避手順を段階的にモデルへ推論させるプロンプトチェーン設計にあります。

AIは複数ファイルにまたがるオブジェクト注入やサニタイズ処理のロジック欠陥を完璧に把握し、実際に攻撃が成功する実証エクスプロイトコードまで自動生成する圧倒的な能力を示しました。

3. なぜLLMによる脆弱性自律発見がサイバーセキュリティ界に激震を与えたのか

サイバー空間における「攻撃コストと防御コストの非対称性（攻撃者圧倒的優位）」が、AIによって絶望的なまでに拡大したことを実証したためです。

悪意あるクラッカーや国家主導のハッカー集団が、オープンソースソフトウェア（WordPress, Linux, Apache等）の全コードをAIで常時スキャンし、未知のゼロデイ攻撃手法を無制限にストックできる破滅的脅威が現実化しました。

従来の静的解析ツール（SonarQubeやSemgrep）では検知できない、高度なコンテキスト依存バグをAIが数分で解読してしまう時代の到来が示されました。

4. 攻撃コスト非対称化の時代におけるDevSecOpsと防衛インフラの未来

開発組織やオープンソースコミュニティは、GitHub Pull Requestの段階で「LLM型自動セキュリティ監査エンジン」を常時稼働させるDevSecOps体制の構築が不可欠となります。

バグ報奨金プログラムの構造見直しや、サードパーティ製プラグインの自動安全性検証スクリプトの標準組み込みが求められています。

攻撃側のAI化に対抗するため、防御側もより強力なAIセキュリティ監査を開発パイプラインへ統合していく「AI対AIの防衛戦」が幕を開けたと言えるでしょう。