脆弱性対応と、本能のバグ

「30万年前の脳と、現代の警告のミスマッチ」

FutureVulsチームの棚井です。この記事は秋のブログ週間2026の1本として書いています。

秋のブログ週間は読書週間にちなんだ企画で、書評も対象になるそうです。今回は、高橋祥子さんの『思いどおりにならない人生を変える生命科学 すべて本能のせい 科学的に正しい脳との付き合いかた』（ダイヤモンド社、2026年9月）を取り上げます。本書で紹介されている生命科学の知見をもとに、普段の脆弱性対応について考えます。

出版社の内容紹介には、次の一文があります。

食べるのをやめられない、空気を読み過ぎてしまう、スマホを手放せない……これは私たちの性格のせいでも意志のせいでもない、人間全員に当てはまる「本能のバグ」だった。

ここ数ヶ月、個人情報の漏洩が相次いだこともあり、セキュリティの中でも脆弱性対応への関心が高まっています。10月21日に公表されたPHPの脆弱性、通称PHP2Shell（CVE-2026-109618、CVE-2026-109619）への対応で、世の中での優先度が一気に上がりました。詳細はFutureVulsブログにまとめています。

今は、AIを活用した緊急のパッチ適用で、なんとか凌げている現場も多いのではないでしょうか。ただ、人間の判断の癖を知らないまま緊急対応を重ねていくと、いずれアラート疲れで現場が疲弊します。

狩猟採集の脳

私たち現生人類、ホモ・サピエンスが現れたのは約30万年前です。その歴史のほとんどを、狩猟採集で暮らしてきました。農耕への移行が始まったのは約1万2千年前で、そこから定住を中心とした暮らしが広がっていきました。産業革命は18世紀からの出来事です。インターネットが生活に普及し、AIが業務を支援するようになったのは、さらに最近のことです。30万年という時間で見れば、私たちが当たり前だと思っている環境は、ごく短い間にできたものです。

遺伝的な適応には世代を重ねる時間がかかるため、環境が急に変わると、それまで役立っていた性質が新しい環境に合わなくなることがあります。この食い違いを進化的ミスマッチと呼びます。暮らしが便利になっても、脳や体まで同じ速さでそれに合わせて変わるわけではありません。このミスマッチを「本能のバグ」と捉えると、現代の暮らしで困っていることを、人間に備わる性質と環境との関係から考えられます。

心理学には、直感ですばやく判断する「速い思考」（Fast Thinking）と、時間をかけて論理的に考える「遅い思考」（Slow Thinking）という区別があります。カーネマンの『ファスト＆スロー』で知られる考え方です。たとえば、草むらが揺れたときに、風によるものか猛獣がいるのかを確かめる前に逃げ出す「速い思考」による反応は、危険から身を守るために役立ったと考えられます。そして、サイバー攻撃のような心理的なプレッシャーが強い場面は、「速い思考」に引っ張られやすいと言われます。

一方、脆弱性対応では、「脆弱性が見つかった」とは具体的にどういうことか、自分の環境で攻撃され得るのかを、論理と根拠に基づいて確かめる必要があります。こうした確認には、「遅い思考」が必要です。通知を受けるたびに緊急対応を始めると、現場の負担が増え、必要な調査や判断に時間をかけにくくなります。個別の脆弱性を調べる前に、人間の判断の癖を理解しておくことが、継続して対応するための準備になります。

本能のバグ

ここからは、本書で紹介されている人間の性質を、脆弱性対応に当てはめてみます。

以下は、普段の脆弱性対応で経験したことや、その過程で得た知見をもとに整理して、私自身で考えてみたことです。いずれも「脳の特性」に基づいたもののため、内容重複や「これって、別のところにも当てはまるよね」がいくつか見つかると思います。

ネガティビティバイアスと恐怖学習

良い情報よりも悪い情報に強く反応する傾向を、「ネガティビティバイアス」と呼びます。木の実を見落とすのと、猛獣を見落とすのとでは、命に関わるのは後者です。悪い情報を重く見る性質は、生存に役立っていたと考えられます。また「恐怖学習」という脳の特性により、ニュースなどで恐怖を感じた経験と結びついた刺激には、強く反応するようになります。

個人情報漏洩の報道を何度も見ていると、「CRITICAL」や「リモートコード実行」という言葉だけで身構えることもあると思います。これにより、自分の環境に関係するかを確認する前に、「自分も攻撃されるのではないか」と不安感を強めがちになります。一方、パッチを当てて何も起きなかった話は、ニュースになりにくく、記憶にも残りにくいものです。悪い情報ばかりが記憶に残ると、新たな報道にも不安を感じやすくなります。恐怖は迅速な対応を促す一方で、それだけを基準にすると、実際の影響に応じた優先順位をつけにくくなります。

サリエンス偏重

サリエンスは、刺激の目立ちやすさを指します。そして「サリエンス偏重」とは、その目立ちやすさに注意や判断が偏ることです。脳には、目立つ刺激や自分にとって重要そうな刺激に注意を向ける働きがあるそうです。

CVE番号とは別に通称（PHP2Shell や HTTP2Shell など）のある脆弱性は覚えやすく、深刻さを強調する見出しは目を引きます。しかし、通称のない脆弱性でも、自分の環境では急いで直すべきものがあります。ニュースでよく見かけるものばかりに注意が向くと、そうした脆弱性が後回しになってしまいます。

省エネな脳と物語

脳は、情報を単純な物語にまとめ、理解にかかる負担を減らしています。そのため、客観的なデータや統計よりも、分かりやすい物語を優先して信じてしまうことがあります。

ショート動画などで、脆弱性関連のニュースが「このソフトを使っていると乗っ取られる」というキャッチーなタイトルで注目を浴びていることがあります。実際には、バージョンや使い方、置かれた環境によって、攻撃が成り立つかどうかは変わります。ところが、条件を1つずつ説明するより、短い物語のほうが理解しやすく感じられます。その短い話からは、攻撃が成り立つ条件という「遅い思考」で理解すべき情報が抜け落ちてしまうことが多くあります。

処理流暢性

受け取った情報の処理のしやすさを、「処理流暢性」と呼びます。「本当に正しく理解できたか」よりも、「理解できた気がするか」という主観的な感覚で判断してしまう傾向があります。

たとえば、「対応済みです」という報告だけでも、なんとなく状況が解消に向かっているという感覚は得られます。しかし、この一言では、パッチの適用まで終えたのか、侵害の有無まで確認したのかは分かりません。動画サイトやSNSで、短く整理された解説を見ると、複雑な話でも理解できたと感じることがあります。しかし、説明が分かりやすかったことと、自分が正しく理解できたことは別です。説明を聞いたときは納得できても、自分の環境に当てはまる条件を説明しようとすると、分かっていない部分が残っているかもしれません。

フレーミングと早い納得

同じ事実でも、伝え方によって判断が変わることを、「フレーミング効果」と呼びます。私たちは事実を聞くと、それが自分にとって何を意味するかに反応します。人間には、正確に理解するよりも早く納得しようとする性質があるそうです。

検知された脆弱性の影響を調査中にて、一部のサーバは影響がないと確認でき、残りは調査中だとします。「確認済みのサーバには影響がありません」と「まだ影響を確認できていないサーバがあります」は、同じ調査状況の説明です。それでも、どちらを先に伝えるかで、受け手の安心や不安の度合いは変わり得ます。

認識のズレを減らす報告

こうした癖は、報告を受けるときにも働きます。「今回の脆弱性の影響はありますか？」という質問に対する、次の2つの回答例を比較します。

• 回答例A：「ほとんど影響はありません。」
• 回答例B：「影響はありません。」

回答例Aでは、影響が残っているのか、調査が終わっていないのかが分かりません。報告する側が安心させるつもりでも、リスクを重く見る受け手は「影響あり」と解釈する可能性があります。ここで認識のズレが生まれ、悪い報告は一瞬で広まります。

回答例Bは明確ですが、質問された範囲について、影響がないと判断できている場合の回答です。未確認の対象が残っているなら、その範囲も伝える必要があります。

一部のサーバの確認がまだ残っているなら、たとえば次のように伝えます。

現時点で、確認済みのサーバには、今回の脆弱性の影響はありません。一部のサーバはまだ調査中です。本日17時に、途中経過を含めて改めて報告します。影響が分かった場合は、その時点でお知らせします。

確認できた範囲を示せば、影響がないという判断の範囲も伝わります。調査中の部分は、そのまま調査中と伝えます。次の報告時刻も決めておけば、受け手は続報を待つ見通しを持てます。

発信する側が判断の癖を知っていても、受け手が知っているとは限りません。経営層や他部署の人など、報告を受ける相手はセキュリティの専門家ではないことも多いはずです。説明を省略すると、受け手が異なる前提で判断する可能性があります。

それでも、緊急時に現場の状況を現場にいない人へ正しく伝えるのは、とても難しいことです。技術的に正確に伝えることと、意思決定をする人に状況を理解してもらうことは、必ずしも一致しません。

脆弱性対応を継続するための準備

今後も新たな脆弱性は公表され、その都度、対応の要否や優先度を判断することになるでしょう。ありがたい点として、パッチの適用方法自体は、AIを使えば短時間で調べられるようになりました。一方、何を緊急として扱うか、本番環境をいつ停止するかといった判断は、人間が責任を持って担い続ける必要があります。

深刻な報道を受けて緊急対応し、問題が起きずに終わる経験を繰り返すと、次第に警告に慣れてしまうことがあります。アラート疲れには、こうした慣れも関わるのだと思います。この慣れによって「本当に影響のある脆弱性」へのリスク評価が適切になされなくなるケースも考えられます。経営層のプレッシャーと担当者の緊張感に頼るだけでは、継続した対応は難しくなります。

対策として、まずは、自社の資産情報を速やかに調査できる体制を整えておく必要があります。たとえば、MCP（Model Context Protocol）のようにAIと外部のツールやデータをつなぐ仕組みを使い、資産情報をAI経由で調査できるようにしておきます。「PHPが動いているサーバはどれか」などと自然言語で問い合わせ、対象の資産を確認できる状態にしておくということです。平時からこの連携を使っておけば、情報収集の負担を減らし、集めた情報から影響を判断する「遅い思考」に時間を使えます。

影響調査を始める条件と、緊急対応に切り替える基準も、先に決めておきます。たとえば、次のような方針や確認事項を予め策定しておきます。

• PHP2Shell（CVE-2026-109618、CVE-2026-109619）やHTTP2Shell（CVE-2026-111497）のように通称のある脆弱性は、アラートがなくても自社への影響の有無を調査する
• CISAのKEVカタログやVulnCheck KEVなどを参照し、実際の攻撃で悪用されているかを調べる
• 自社の対象システムが、外部から攻撃の届く環境で稼働しているかを確認する

調査を始めた後は、実際の影響と悪用状況をもとに緊急対応の要否を判断します。判断の基準を共有しておけば、サリエンス偏重やフレーミングの影響を受けても、見出しの強さや伝え方に頼らず、事実に基づいて優先度を検討できます。

早く納得しようとする性質への対策として、どこまで確認すれば調査を完了できるかも決めておきます。パッチを適用して安心したという感覚だけで、調査を打ち切らないためです。必要な確認を終えたら、その結果を報告し、通常業務に戻ることを関係者と確認します。

おわりに

ここまで、脆弱性の情報を受け取ってから、影響を調査し、対応や報告をするまでの過程で、人間の判断の癖がどのような問題につながるかを見てきました。

本書は参考論文や参考書籍の情報も豊富で、気になった点は、紹介されている文献を調べて理解を深められます。

食べすぎやスマホの使いすぎなど、意志の弱さとされがちな悩みにも、人間が進化の過程で受け継いできた性質と、現代の環境とのミスマッチが関わっていると考えられます。かつて生存に役立った性質が、現在の環境では生活上の問題につながっているということです。であれば、その仕組みを理解すれば、意志力だけに頼らず、自分が反応しやすい刺激を減らすなど、環境を変える対策も考えられます。自分の努力が足りないと考える前に、人間に備わる性質と環境との関係を知り、改善できる点を検討するうえでも、本書は参考になると思います。