何が起きたか
Cogent Security（Greylock PartnersおよびBain Capital Venturesが支援）は2026年5月27日にZero Day ResponseおよびAutonomous Remediationを開始し、69,159個のCVEを分析する調査報告書を公開しました。Zero Day Responseは公開開示から数分以内に露出を識別します。スキャナーシグネチャを待つことなく、CVE前のGitHub PoC開示を含みます。Autonomous Remediationは修正計画を構築し、フライト前の影響評価を実行し、修復を確認します。Cogentの調査では、AI支援エクスプロイト開発により、平均的なタイムトゥエクスプロイトが125.3日（2025年1月）からわずか0.5日（2026年4月）に短縮されたことが判明しました。重大なCVEの62%は主要なスキャナーが検出シグネチャを提供する前にすでにアクティブなエクスプロイトを備えており、2025年1月以降のすべてのCVEの54%はTenableやQualysおよびRapid7からスキャナーカバレッジがまったくありませんでした。
なぜ重要か
0.5日のタイムトゥエクスプロイト数値は、月次または週次スキャンサイクルの脆弱性管理プログラムを根本的に無効化します。この調査は、顧客側のプロセス上の問題ではなく、構造的なスキャナー検出ギャップを文書化しており、最も危険な悪用ウィンドウ中に組織を盲目のままにします。ツール開始と組み合わせると、これは新しい製品カテゴリを検証します。エージェント型のシグネチャ前脆弱性対応です。Mythos級AIが6～12か月以内に新しいフロアを設定するという調査結果は、企業が今すぐシグネチャ依存ワークフローから移行する緊急性を高めます。
適用範囲
月次または週次スキャンサイクルで脆弱性管理を実行している組織は、この調査をプログラムの再評価を促すものとして扱うべきです。Fortune 500のフットプリントとAI対向インフラストラクチャ（AI API、モデルサービング、エージェントランタイム）を持つ大企業が、Cogentプラットフォームの主な対象です。CISOは、自分たちのVM プログラムがCVE開示とシグネチャリリースの間の重大な期間における「スキャナーフリー」検出パスを備えているかどうかを検討すべきです。