NVIDIAは2026年9月1日（現地時間）、大規模言語モデルの学習などに使われるソフトウェアコンポーネント「Megatron Bridge」のセキュリティ情報を公開し、30件の脆弱性に対処したことを明らかにした。いずれも共通脆弱性評価システム「CVSS v3.1」の基本値が7.8で、重要度は4段階中2番目に高い「High（高）」。悪用された場合、コードの実行、データの改ざん、情報漏えいにつながるおそれがある。派手な攻撃事案ではないが、AI開発基盤をどう管理するかという課題を突きつける内容だ。
30件が同じスコア、大半は「デシリアライズ」の問題
対象となったのはCVE-2026-61750からCVE-2026-61779までの30件。NVIDIAのアドバイザリによれば、影響を受けるのはバージョン0.0から0.5.0までで、修正版の0.5.1がGitHubのリポジトリで公開されている。同社は最新版へ更新するよう強く推奨している。
30件はいずれも「信頼できないデータのデシリアライズが発生しうる」という同じ説明が付されており、CWE（脆弱性の分類）では29件がデシリアライズを示すCWE-502に分類されている。ただし、CVE-2026-61753の1件だけは、想定外の場所のファイルへアクセスされる「パストラバーサル」を示すCWE-22として分類されている。アドバイザリの表を見ないと気づきにくい差異だ。
評価に使われたCVSSの内訳（ベクタ）は30件とも同一で、攻撃元区分はローカル、攻撃条件の複雑さは低、必要な特権レベルは低、利用者の関与は不要とされている。つまり、インターネット越しに一方的に攻撃される種類のものではなく、その環境に何らかの形で入り込めた者、あるいはその環境で処理されるデータを用意できた者が突く脆弱性という位置づけになる。NVIDIAは具体的な悪用条件や、悪用が確認された事実については公表していない。
なぜ「デシリアライズ」がAI基盤で問題になるのか
デシリアライズとは、ファイルなどに保存された形式のデータを、プログラムが扱えるオブジェクトの形に復元する処理を指す。機械学習の世界では、学習済みモデルやチェックポイント、設定ファイルの読み込みでこの処理が日常的に使われる。
問題は、この復元処理が「単にデータを読むだけ」では済まない実装になっている場合があることだ。復元の過程で任意のコードが動く余地があると、悪意を持って細工されたファイルを読み込ませるだけで、受け手側の環境でコードが実行されうる。AIの開発現場では、外部で公開されているモデルや学習済みの重みファイルを取り込んで再利用することが珍しくない。信頼できるかどうかを確かめないまま持ち込まれたファイルが、そのまま実行経路になりかねない。
今回NVIDIAが謝辞を挙げた報告者には複数の外部研究者が名を連ねており、AI関連コンポーネントに対する外部からの脆弱性調査が活発になっていることもうかがえる。
AI基盤は「実験環境」のままにしておけない
AIの学習・推論を担う基盤は、社内では研究開発の延長線上に置かれがちだ。データサイエンティストが自分の裁量でライブラリを入れ、公開モデルを取ってきて試す。スピードを優先するなら自然な運用だが、その環境には往々にして学習用の業務データや、社外に出せない資産が載っている。
今回の脆弱性が示すのは、AI基盤にも通常のソフトウェアと同じ資産管理とパッチ運用が要るという当たり前の事実である。バージョン0.0から0.5.0という広い範囲が影響を受けている以上、まず必要なのは「自社のどの環境に、どのバージョンが入っているか」を答えられる状態にすることだ。AIの実験環境がIT資産の台帳から漏れていれば、更新の呼びかけはそもそも届かない。
あわせて、外部から持ち込むモデルファイルや重みファイルの扱いを、ソフトウェアの導入と同じ目線で見直しておきたい。出所の確認、取り込む経路の限定、そして万が一コードが実行された場合に被害が広がらないよう権限や実行環境を分離しておくこと。AI活用を急ぐ組織ほど、この足元の整備が後回しになりやすい。
同じ手口に、自社は備えられていますか？