本書「VulnOps：AI時代の脆弱性管理」は、CSA本部が公開している「VulnOps: Vulnerability Management in the Age of AI」の日本語版で、リサーチノートです。
AIによる脆弱性の自動発見でCVEの登録件数が急増する一方、米国のNVDは2026年4月に情報付与（エンリッチメント）の対象を一部に限定し、公表から悪用までの時間も数時間単位にまで縮まっています。本書は、定期スキャンと四半期ごとのパッチ適用を軸とする従来の脆弱性管理はもはや通用しないと指摘し、脆弱性への対応を絶え間ない流れとして回し続ける運用手法「VulnOps」を提唱しています。そのうえで、継続的な発見、リスクベースの優先順位付け、修正の自動化など6つの基本原則と、組織が最初に取り組むべき3つの施策を示しています。
本書の背景には、Anthropicの「Claude Mythos Preview」をはじめとする高性能なAIモデルが、未知の脆弱性を大量に発見できるようになったことがあります。これを受けてCSAは、SANS、OWASPなどと共同で2026年4月に「The AI Vulnerability Storm: Building a Mythos-ready Security Program」を公表し、AIによる脆弱性発見の時代に備えた「Mythosレディー」なセキュリティプログラムの構築を呼びかけました。「Mythosレディー」ではその柱の一つとして、VulnOpsを組織の恒常的な機能として立ち上げることを求めています。本書は、そのVulnOpsとは何か、なぜ必要なのかを掘り下げています。
また、VulnOps、CTEMの実装について、以下のブログを公開していますので、合わせてご覧ください。
「「Mythosレディ」とは何か（続編-3）～ VulnOps と CTEM を実装する実施例」ブログページ
本資料についてはこちらのページをご覧ください。