エクスプロイトとは
エクスプロイト（exploit）とは、ソフトウェアやシステムの脆弱性を実際に悪用し、本来はできないはずの操作を引き起こすコードや手順のことです。本来できない操作とは、任意のコードの実行、権限の奪取、情報の読み出しなどを指します。脆弱性が「欠陥そのもの」であるのに対し、エクスプロイトは「その欠陥を突いて攻撃を成立させる具体的な手段」です。
脆弱性が見つかっても、そのまま攻撃に使えるとは限りません。たとえばメモリ破壊のバグを任意コードの実行につなげるには、OS の防御機構を回避したり、実行環境ごとに調整したりする作業が必要になることが多くあります。この「バグを実際に動く攻撃に変える」工程がエクスプロイト開発です。脆弱性が実在することを示すための最小限のコードは PoC（Proof of Concept）と呼ばれます。修正パッチが出る前に悪用されるものはゼロデイ・エクスプロイトと呼ばれます。
使い方（正当な用途）
正当な用途は主に次の 3 つです。自組織や依頼を受けたシステムへのペネトレーションテスト（侵入テスト）、見つかった脆弱性が本当に悪用できるかの検証、そしてパッチ適用の優先順位付けです。代表的なツールに Rapid7 の Metasploit があります。既知の脆弱性に対応したエクスプロイトのモジュールを選び、対象を指定して実行する形で使います。
大前提として、所有者の許可なく他人のシステムに実行すると不正アクセスになります。業務で扱う場合は、対象の範囲と期間を契約や書面で明確にし、まず検証環境で試すのが基本です。
料金・入手方法
エクスプロイトそのものに定価はありません。公開済みの PoC は、研究者が公開するリポジトリなどから無償で手に入る場合があります。Metasploit Framework はオープンソースで提供されており、商用版の Metasploit Pro もあります。商用版の価格は当サイトでは確認できていないため、ここには書きません。
事業会社の企画・DX 担当者が検討すべきなのは、エクスプロイトを自社で持つことではありません。脆弱性診断やペネトレーションテストの外部委託、あるいは脆弱性報告に報奨金を払うバグバウンティ制度の活用が現実的な選択肢です。
誰が作っているのか：AI の参入
エクスプロイトを作るのは、セキュリティ研究者、診断ツールを開発するセキュリティ企業、そして攻撃者です。最近はここに生成 AI が加わり始めています。
Tom's Hardware の報道によると、OpenAI は自社のモデル（URL 上の表記は GPT-5.6 Sol）が PHP の重大な脆弱性の発見に役立ったと発表しました。影響はウェブサイトの 70% に及ぶ可能性があるとしています。報道では、AI の支援を受けた研究者が、人間の開発者が 2 年間解決できずにいたバグを、2 週間で実際に動く攻撃コードにしたとされています。これはまさに、前述した「バグを動く攻撃に変える」工程を AI が短縮した事例です。
また GIGAZINE によると、Anthropic は中国の AI モデル「GLM-5.3」について、自社の「Claude Mythos Preview」と同程度のサイバー攻撃能力を持つ一方で、安全対策が不十分だと警告しました。ただし、この件で当サイトが確認できたのは見出しのみです。評価の方法や具体的な結果は分かっていません。
投資家の視点で見ると、AI モデルの開発企業そのものが、攻撃コードを作る能力の評価と、その悪用を防ぐ安全対策の両面で比べられる構図になりつつある、と当サイトは考えています（これは推測です）。
