何が起きたか
Microsoftの自律型コードセキュリティチームは、2026年5月12日にMDASH(マルチモデル エージェンティック スキャニング ハーネス)を発表しました。これは、フロンティアおよび蒸留モデル全体で100以上の専門化されたAIエージェントをオーケストレーションし、複雑なコードベースで悪用可能な欠陥を自律的に発見、検証、実証するシステムです。MDASHは構造化されたパイプラインを使用しています：脅威モデリング、候補問題をフラグするための監査者エージェント、検出結果を検証するためのディベーターエージェント、セマンティック重複排除、および概念実証生成です。2026年5月のパッチチューズデイでは、MDASHは16のWindows脆弱性を発見しました。これには、ikeext.dll内の重大なRCE(IKEv2 double-free、CVE-2026-33824、CVSS 9.8)およびtcpip.sys内のRCE(IPv6/IPsecレースコンディション、CVE-2026-33827、CVSS 8.1)が含まれます。Microsoftは、重い監査を受けたWindowsコンポーネント上で96～100％のリコール率と強力なCyberGymベンチマークパフォーマンスを報告しました。
なぜ重要か
MDASHは、異種モデル全体のマルチエージェント オーケストレーションがシングルモデルアプローチよりも高忠実度の脆弱性検出を生成することを実証しています。監査者とディベーターエージェント間の不一致を信頼性シグナルとして活用する能力は、アーキテクチャ的に革新的です。実世界の結果(単一のパッチサイクルでの16の重大/高深刻度の検出結果、以前は知られていなかったWindowsネットワーキング欠陥を含む)は、エージェンティックセキュリティが本番グレードの能力シフトであることを検証しています。これは業界全体によるエージェンティック脆弱性スキャニングの採用を加速させ、他のベンダーがMicrosoftに続くにつれて、公開される脆弱性の急増を引き起こす可能性があります。
適用範囲
Microsoft パッチチューズデイの脆弱性は、Windowsに依存するすべての組織に影響します。組織は、CVE-2026-33824(IKEv2 RCE)およびCVE-2026-33827(TCP/IP RCE)を優先して即座にパッチを適用する必要があります。特にVPN/IPsecエンドポイント、DNSクライアント、およびドメインコントローラーについてです。より大規模なエンタープライズおよびセキュリティベンダーは、独自の脆弱性発見パイプラインの一部として、エージェンティックスキャニングシステム(MDASHの競合他社が出現します)を評価する必要があります。防御に対する教訓：エージェンティック脆弱性発見は現在、能力乗数です。競合他社と防御者は同様にこれらのシステムを大規模に展開します。