Google、OSS脆弱性を修復するAI発表

Googleのセキュリティ研究チームは、オープンソースソフトウェア（OSS）における未知または既知の脆弱性を自動検出し、その修正プログラム（パッチ）をAIによって自律生成・提案する新たな技術と取り組みを発表しました。世界のITインフラを支えるOSSの安全性向上と、メンテナーの負担軽減を図ります。

脆弱性発見から修正プルリクエスト生成の自動化

今回発表された技術は、静的解析工具やファジング技術、LLMによるコード理解機能を組み合わせた自動修復システムです。ソフトウェアのコードベース内に潜む脆弱性を検知すると、AIが脆弱性の修正コードを自動生成し、周辺のテストコードが正常に通過することを確認した上で、リポジトリにプルリクエスト（PR）として提示します。

従来、脆弱性が発見されてからパッチが適用されるまでに数週間から数ヶ月を要する場合があり、その間システムが攻撃にさらされるリスクがありました。自動パッチ生成技術の導入により、修正までの時間を大幅に短縮することが可能になります。

開発現場へのインパクトと注意点

多くの商用サービスやインフラが利用するOSSの脆弱性対応は、有志のメンテナーによるリソース不足が長年の課題とされてきました。GoogleによるAI自動パッチ技術の普及は、ソフトウェアサプライチェーン全体の堅牢性を飛躍的に高める意義を持ちます。

ただし、AIが生成したパッチが新たな副作用やパフォーマンス低下を引き起こさないかという懸念や、悪意ある修正コードの混入を回避するための人間による承認プロセス（Human-in-the-loop）の設計が不可欠です。未解決の点として、すべてのプログラミング言語や高度なメモリ破壊系脆弱性に対してどの程度の精度で自動修復が機能するかについての検証が継続されています。

セキュリティ自動化の未来と展望

脆弱性の検知のみならず、修正コードの自動生成までAIが果たす役割が拡大したことで、防衛側のセキュリティオペレーションは一変しようとしています。今後は攻撃側によるAI利用との対抗策も含め、自動化された防御エコシステムの構築が業界全体の急務となるでしょう。

引用元：Google Blog

引用元：Google