Microsoftが毎年開催するバグバウンティイベント「Zero Day Quest」の2026年版が締め括られ、合計230万ドル（約3億3,000万円）もの報奨金が支払われた。世界20か国以上の研究者から約700件の脆弱性報告が寄せられ、そのうち80件超がクラウドやAI基盤に影響する高インパクトな問題として認定された。

Zero Day Questとは何か

Zero Day Questは、Microsoftのバグバウンティプログラムを発展させた形のライブハッキングイベントだ。2026年版は最大5,000万ドルの賞金プールを設定し、「史上最大のハッキングイベント」として発表されていた。昨年2025年版では1.6億ドルを支払っており、年々規模が拡大している。

参加した研究者たちは、Microsoftの定めた「Rules of Engagement（交戦規定）」に従い、顧客データや他テナントのシステムには一切アクセスしない形で検証を実施した。その制約の中でも、クレデンシャル露出・SSRFチェーン・テナント間の不正アクセスといった深刻な経路が発見されている。

Secure Future Initiative（SFI）の文脈

このイベントはMicrosoftが2023年11月に立ち上げた「Secure Future Initiative（SFI）」の一環だ。SFIは米国国土安全保障省のサイバー安全審査委員会がMicrosoftのセキュリティ文化を「不十分であり抜本的な見直しが必要」と指摘したことを受けた、組織横断のセキュリティ強化活動である。

SFIの柱は「デフォルトで安全・設計で安全・運用で安全」の3原則。Zero Day Questで得た知見は社内横断で共有され、CVEプログラムを通じて透明性をもって公開されると明言している。

実務への影響――クラウド管理者が今すぐ確認すべきこと

クレデンシャル露出・SSRF・テナント間アクセスという3つの脆弱性クラスは、Azure環境を運用する日本のIT部門にとっても他人事ではない。

クレデンシャル露出は、サービスプリンシパルやマネージドIDの設定ミス、またはコードリポジトリへの誤コミットが引き金になることが多い。Microsoft Entra Workload IDの棚卸しと、シークレットの有効期限・ローテーション設定を定期的に見直す習慣が重要だ。

SSRF（Server-Side Request Forgery）チェーンは、クラウドのメタデータエンドポイントへの不正アクセスへとつながる経路として研究者から注目されている。Azure IMDSへのアクセス制限やネットワーク分離の徹底が基本対策となる。

テナント間アクセスについては、ゲストアカウントや外部コラボレーションの設定が想定外に緩くなっていないか、Microsoft Entra Cross-Tenant Access Settingsを改めて確認するとよい。

またMicrosoftは2025年12月、第三者が書いたコードに起因するオンラインサービスの脆弱性についても報奨金対象とすることを発表している。SaaSやPaaSを使う側としても、依存ライブラリのサプライチェーンリスクが間接的に自テナントのリスクになり得る点を意識してほしい。

筆者の見解

セキュリティというジャンル、正直なところ細かい話が多くて得意分野ではない。それでも今回のZero Day Questの結果を見て、素直に「やっているな」と思った。

SFIはもともと、手厳しい外部評価を受けて始まった取り組みだ。それを言い訳にせず、最大規模のバグバウンティに予算を張り、世界中の研究者を正面から招き入れてクラウドとAIのアーキテクチャを叩かせる。この姿勢は評価に値する。

見つかった脆弱性の類型――クレデンシャル露出・SSRF・テナント間アクセス――は、どれも「設計の甘さ」や「運用の慣れ」が原因で生まれやすいものだ。AIサービスの急拡大に伴い、内部で処理される認証情報の経路が増えているのは確かで、それが攻撃対象となった背景もうなずける。

ゼロトラストの観点から言えば、今回報告された問題の多くは「信頼を前提にした設計」が根に残っていることを示唆している。テナント間アクセスの設計であれ、クレデンシャルの扱いであれ、「ネットワーク内にいるから大丈夫」という前提を捨てる方向性は間違っていない。SFIの3原則――デフォルトで安全・設計で安全・運用で安全――はまさにそこを突いている。

Microsoftにはこの路線をこのまま続けてほしい。外圧で始まった取り組みが内発的な文化に変わるとき、本当の強さが生まれる。今がそのフェーズだと思って見ている。

出典: この記事は Microsoft pays $2.3M for cloud and AI flaws at Zero Day Quest の内容をもとに、筆者の見解を加えて独自に執筆したものです。