FFmpegに21件のゼロデイ脆弱性を発見、うち8件はCVE採番済み
Twenty One Zero-Days in FFmpeg
GoogleとAnthropicの支援を受けたdepthfirst社の自律型セキュリティエージェントが、広く利用されているメディア処理ソフトウェアFFmpegに21件のゼロデイ脆弱性を発見した。これらの脆弱性のうち8件にはCVE識別子(CVE-2026-39210からCVE-2026-39217)が付与されている。発見には約1000ドルのコストしかかからず、これはAnthropicが使用したMythosモデルのコストの10%に相当する。これらの脆弱性のいくつかは15年から20年前に導入されたもので、エージェントは再現可能な概念実証(PoC)コードを生成し、リモートからのコード実行(RCE)エクスプロイトの可能性を示した。特に、AV1デパケットライザーにおけるヒープバッファオーバーフロー(DFVULN-127)は、攻撃者が細工した183バイトのパケットを送信することで、通常の使用方法でトリガーされ、攻撃者に命令実行の制御を可能にする。この脆弱性は、FFmpegがRTSPストリームを処理する際に、ネットワーク経由でリモートから攻撃可能であり、認証や特別なユーザー操作を必要としない。
- depthfirst社の自律型セキュリティエージェントがFFmpegに21件のゼロデイ脆弱性を発見、うち8件にCVE採番
- 発見コストは約1000ドルで、AnthropicのMythosモデル利用コストの10%に相当
- GoogleとAnthropicがdepthfirst社を支援
- 脆弱性の一部は15〜20年前に導入されたもので、リモートからのコード実行(RCE)が可能
本件は、AIエージェントによる自律的な脆弱性発見が極めて低コスト(約1000ドル)で実現可能であり、しかも広く普及しているOSS(FFmpeg)に15〜20年間放置されてきた重大な脆弱性を発見した点が重要。従来の手動/半自動のセキュリティ診断と比較して桁違いのコスト効率を示しており、AIエージェントを用いた自律型セキュリティテストの市場価値を強く示唆する。また、GoogleやAnthropicが支援した企業による成果であることも、主要テック企業のセキュリティ領域へのAI活用戦略の方向性を裏付ける。投資家としては、自律型セキュリティエージェントのスタートアップや、AI×サイバーセキュリティ領域への注目が高まる契機と捉えたい。