自律型 AI エージェントが、数十年の歴史を持つ広く使われているオープンソースのツールキット EPICS（Experimental Physics and Industrial Control System）から、4 件の脆弱性を発見した。うち 1 件は、粒子加速器や核融合実験の制御に使われるシステム上で、リモートの攻撃者がコードを実行できる可能性のある重大な欠陥だ。
脆弱性の内訳は次のとおり。
・CVE-2026-114595：CVSS v3.1 で 9.8 と評価される、深刻度「重大」（Critical）の整数オーバーフローの脆弱性。攻撃者が制御できる形でヒープ領域の範囲外に書き込みが行われ、リモートコード実行（RCE）につながる可能性がある
・CVE-2026-114596：8.2 と評価される、深刻度「高」（High）の、メッセージ長の検証不備。メモリの範囲外書き込みを招き、コントローラのプロセスをクラッシュさせる
・CVE-2026-114597：7.5 と評価される、深刻度「高」の、境界チェックの不備。メモリの範囲外読み取りとプロセスのクラッシュを許す
・CVE-2026-114598：7.5 と評価される、深刻度「高」の、型の取り違え（type confusion）。サービス拒否（DoS）を招き、隣接するメモリの内容が漏えいする恐れもある
4 件はいずれも EPICS の中核となる基盤ソフトウェア EPICS Base に影響する。EPICS Base は、世界最大級の科学研究プロジェクトや施設の運用に使われており、各組織は、修正を含むバージョン 7.0.11 に更新すべきだ。
「これらの脆弱性の悪用に成功すると、攻撃者がサービス拒否状態を引き起こしたり、メモリを破壊したり、機微情報を開示させたり、場合によっては任意のコードを実行したりする可能性がある」と、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は火曜日の注意喚起で警告した。
AI エージェント「Cipher」を手がけるセキュリティ企業 Causal Security 社の共同創業者シュバム・ラージ（Shubham Raj）氏は本誌 The Register に対し、前述の 4 件の脆弱性は、それまで知られていなかったもので、 Cipher が自律的に発見したと語った。初めて扱う EPICS システムの調査とテスト、4 件の攻撃手法の有効性の確認まで含め、所要時間は 3 時間 49 分だったという。
「最初の調査に人間の介入は必要なかった。その後、安全な環境でより踏み込んだ悪用可能性のテストを行うことを許可する指示を、1 回出しただけだ」とラージ氏は述べた。
