Google DeepMindが、ソフトウェアの脆弱性を自律的に発見・検証・修正するAIエージェント「CodeMender」のプレビューを公開した。単に「怪しい箇所を指摘する」だけでなく、Gemini Deep Thinkベースのモデルが脆弱性を検出し、サンドボックス内で実際に概念実証(PoC)エクスプロイトを組み立てて悪用可能性を証明したうえで、修正パッチまで自動生成する。この半年間で、400万行を超える大規模なオープンソースプロジェクトを含め、72件のパッチをアップストリームへ提出済みという。
「発見して終わり」にしない設計 #
脆弱性診断ツールの多くは検出止まりで、実際の修正は人手に委ねられボトルネックになりがちだ。CodeMenderは新規の脆弱性へ即時対応する反応的パッチだけでなく、既存コードを書き換えて脆弱性の「クラスそのもの」を根絶する予防的な修正も行う。AIが自分の出したパッチを再検証し、副作用がないか自己点検するループを回している点も特徴で、単発生成ではなく反復的な自律エージェントとして設計されている。
人間レビューという歯止め #
自律性の高さゆえに懸念されるのは、AIの誤った修正でコードが壊れたり新たな脆弱性を埋め込んだりするリスクだ。Googleはすべてのパッチをアップストリームへ提出する前に人間の研究者がレビューする運用を敷いており、完全自動化ではなくAIと人間の分業に留めている。CodeMenderはGoogle CloudのAI Threat Defenseにも統合され、Wizによる資産把握やMandiantの脅威インテリジェンスと組み合わせて、検出から修正までを「機械の速度」で回す体制の一部を担う。
攻撃側もAIを使う以上、防御側の自動化は避けられない #
攻撃者がAIで脆弱性探索を高速化する一方、防御側も同じ武器を持たなければ非対称な競争になる。CodeMenderのような自律修正エージェントは、パッチ適用が遅れがちな大規模OSSのメンテナンス負債を減らす可能性がある半面、AIの提案を鵜呑みにする組織文化ができればレビューの形骸化という新たなリスクも生まれる。ハッカー視点で見れば、次の攻防の焦点は「脆弱性を見つける速さ」から「AIが直した修正の正しさをどう検証するか」へ移りつつある。
COMMENTS 0
まだコメントはありません。最初のコメントを投稿しよう。