核心結論
Oracleは正式に発表した：2026年5月から、重要パッチ更新（CPU）は四半期公開から月次公開に変更される。これはOracleが20年以上にわたって四半期セキュリティパッチの固定リズムを初めて打破したものである。
公式はこの変更の直接的な駆動要因が最先端AIモデルの加速的な反復であると明確に指摘している——新しいAI攻撃ベクトルの出現速度は、従来の四半期パッチサイクルが対応できる範囲を遥かに超えている。
変更比較
| 項目 | 旧リズム（四半期） | 新リズム（月次） | 影響 |
|---|---|---|---|
| 公開頻度 | 年4回 | 年12回 | 運用チームの作業量が3倍に増加 |
| 脆弱性露出窓 | 最大90日 | 最大30日 | 攻撃者の悪用窓が大幅に短縮 |
| テスト期間 | 約60日 | 約20日 | QAプロセスの自動化が必須 |
| コンプライアンス監査 | 四半期単位 | 月次単位 | コンプライアンスチームの報告サイクル調整が必要 |
なぜ今なのか
1. AI駆動の攻撃速度
最先端の大規模モデルは、脆弱性の自動発見と攻撃コードの生成に利用されている。従来のセキュリティ研究チームが数週間かけて完了する必要があった脆弱性分析を、AI Agentは数時間で完了する可能性がある。四半期パッチサイクルはこの速度に追いつけなくなっている。
2. 企業のAIデプロイメントが攻撃面を拡大
企業がAI Agentを大規模にデプロイするにつれ（Microsoft Agent 365がGA、Anthropicが金融業界向けテンプレートを公開）、従来のエンタープライズソフトウェアシステムはAIシステムと深く統合する必要がある。この統合は多数の新しいAPIエンドポイントとデータフローを導入し、それぞれが潜在的な攻撃面となる。
3. Oracle自身のAI戦略
OracleはAIインフラ事業（OCI GPUクラウドサービス、AIデータベース機能）を積極的に推進している。AIインフラプロバイダーとして、自社ソフトウェアのセキュリティは顧客信頼に直結する。
他ベンダーの連鎖反応
Oracleはセキュリティ更新サイクルを加速させる唯一のベンダーではない。この傾向は広がりつつある：
- Microsoft：Agent 365 GAと同時にAgentセキュリティガバナンスフレームワークを公開
- Google：CAISI事前テストプログラムに参加し、政府のセキュリティ審査を積極的に受け入れる
- AWS：re:InventでAIワークロードのゼロトラストアーキテクチャを強調
アクション推奨
| 役割 | 影響評価 | 推奨アクション |
|---|---|---|
| Oracle DBA | 月次パッチはより高い運用圧力を意味する | 自動化テストパイプラインを構築し、人的介入を削減 |
| セキュリティチーム | AI攻撃ベクトルには新しい防御戦略が必要 | AI支援の侵入検知システムを導入 |
| CIO/CTO | セキュリティコストが構造的に上昇する | セキュリティ予算を「緊急対応」から「継続的防御」へ移行 |
| AIエンジニア | Agentセキュリティはもはやオプションではない | Agent設計段階にセキュリティ評価を組み込む |