AIが穴を見つけたら、ネットは全部危険？ PHP緊急修正とP=NPをほどく

もし学校の玄関に鍵がかかっていても、ドアの蝶番が壊れていたら、鍵を太くするだけでは守れない。インターネットの安全も似ている。『AIが重大な穴を見つけた』と聞くと、次は暗号が全部破られるのか、と不安になる。でも、ソフトウェアの穴、量子計算機、P=NPは、同じニュースの中に並んでも別々の問題だ。

まず確認できる事実から。PHP開発チームは2026年10月21日、認証されていない遠隔の相手がコードを実行できるおそれのある重大な脆弱性を2件公表し、修正版を出した。対象はウェブリクエストを処理するPHP環境で、8.5.12、8.4.27、8.3.36、8.2.35などが修正済みの版として案内されている。PHP側は完全な対策は更新だけだとしている。ただし、これは『PHPを使うサイトがすべて侵入された』という意味ではない。実際の影響は、使っている版、構成、更新状況を調べないと分からない。

では、AIは何をしたのか。OpenAIの説明では、連携した調査でAIが重大な欠陥の一つを見つけ、Wizも2件を独立して発見・報告した。AP通信は、脆弱性自体は人間が先に発見し、AIエージェントは悪用可能性の確認や修正テストを助けたと報じている。『AIが単独で全部発見した』と単純化するより、発見、再現、修正、配布を複数の人・組織が分担したと見るのが正確だ。

小学生にも分かる言い方をすると、Pは『答えを見つけるのも、答えが正しいか確かめるのも、現実的な時間でできる問題』、NPは『答えをもらった後、正しいかどうかは現実的な時間で確かめられる問題』の集まりだ。P=NPは、答えの確認が簡単な問題なら、答え探しも簡単なのか、という未解決の問い。大学の講義でも、迷路の答えを見せてもらって確認することと、自力で道を探すことの違いから考えられる。

もしP=NPが証明されたら、少なくとも標準的な計算量理論の枠組みでは、公開鍵暗号などで重要な『計算は簡単だが逆算は難しい』という一方向関数を作れないことになる。だから『鍵を長くする』だけでも、『別のNP困難そうな数学へ移る』だけでも、一般的な保証にはならない。ただし、P=NPの証明が見つかった瞬間に、世界中の暗号が必ず実用的な時間で破られる、とも言えない。具体的なアルゴリズムや計算量、実装までの時間は別の問題だ。P=NPはまだ証明されていない。

ここで耐量子暗号が登場する。これはP=NPへの万能な避難先ではなく、将来の十分強力な量子計算機が現在の暗号方式を脅かす可能性に備えるものだ。NISTが10月27日に公表した最終版の移行報告書は、量子計算機に弱い方式を特定し、耐量子方式へ移す計画を整理した。どのシステムがどの暗号を使っているかを洗い出し、機器やソフトの供給網まで順番に替える。暗号の引っ越しは、鍵だけ交換して終わる作業ではない。

経済の視点では、修正プログラムを作る保守担当者や研究者、配布するOS・クラウド事業者、導入する企業や行政が、それぞれ時間と費用を負う。更新テストや一時停止のコストは運営者側、更新が遅れた場合の情報漏えい・業務停止の損失は利用者や取引先にも広がりうる。これは仕組みから見た推論で、今回の欠陥による損失総額や、影響を受けたサーバー数は、ここで参照した資料だけでは確認できない。無料で使えるソフトでも、保守の人手と更新の仕組みは無料ではない。

つまり今日の問いへの答えは、『AIが穴を見つけたから暗号を全部捨てよう』ではない。目の前のPHP環境は該当版か、修正版まで更新されたか。長く守る必要のあるデータは何の暗号方式で保護され、移行計画はあるか。P=NPという理論上の問いと、今日の脆弱性対応を分けて追うことが、怖い見出しに振り回されない一歩になる。