Google AIのバグハンターBig Sleepが初めて20個のオープンソースソフトウェアのセキュリティ欠陥を発見、インテリジェントセキュリティの新時代を切り開く

ニュース概要

GoogleのAIが開発した脆弱性ハンター「Big Sleep」が、オープンソースソフトウェアから20件のセキュリティ脆弱性を発見することに成功し、サイバーセキュリティ分野における人工知能の大きなブレイクスルーとなりました。Google DeepMindとProject Zeroが共同開発したこのAIシステムは、人間の介入なしにこれらの脆弱性を独立して発見・検証しました。主な対象は、FFmpegオーディオ・ビデオライブラリやImageMagick画像処理スイートなどの人気オープンソースプロジェクトです。

AI脆弱性ハンターが歴史的ブレイクスルーを達成

Googleのセキュリティ担当副社長であるHeather Adkins氏が今週月曜日に発表したところによると、同社の大規模言語モデル（LLM）ベースの脆弱性研究ツール「Big Sleep」が、初めて20件のセキュリティ脆弱性を報告しました。これらの脆弱性は、広く利用されているオープンソースソフトウェア、特にオーディオ・ビデオ処理ライブラリのFFmpegや画像編集スイートのImageMagickなどの主要プロジェクトに存在します。

技術的な仕組み

Big Sleepは、GoogleのAI部門であるDeepMindと、精鋭ハッカーチームProject Zeroが共同で開発した製品です。このシステムは、高度な機械学習モデルを採用しており、大量の既知の脆弱性データで学習した後、コードベース内の異常なパターンを分析できます。従来の静的解析ツールとは異なり、Big Sleepは人間によるレビューでは見落とされがちな微妙な問題も特定できます。

Googleの広報担当者Kimberly Samra氏はメディアに対し、「高品質で実用的なレポートを確実にするため、報告前には人間の専門家が検証に参加しますが、各脆弱性はAIエージェントが人間の介入なしに発見し、再現したものです」と述べました。

業界への影響と意義

Googleのエンジニアリング担当副社長であるRoyal Hansen氏はソーシャルメディアで、これらの発見が「自動脆弱性発見の新たなフロンティア」を示しているとコメントしました。業界の専門家は、これはサイバーセキュリティ分野におけるパラダイムシフトを意味し、組織がプロアクティブな脆弱性管理のためにAIにますます依存するようになると見ています。

競合状況分析

Big Sleepは、市場で唯一のAI駆動型脆弱性ハンターではありません。現在、RunSybilやXBOWなどの競合製品が存在します。特筆すべきは、XBOWがHackerOneの脆弱性報奨金プラットフォームの米国ランキングで上位にランクインしたことがある点です。

RunSybilの共同創設者兼CTOであるVlad Ionescu氏は、Big Sleepを「正当な」プロジェクトだと評価し、「Big Sleepはよく設計されており、その背後にあるチームは経験豊富です。Project Zeroは脆弱性発見の経験を持ち、DeepMindは強力な計算能力とリソースのサポートを備えています」と述べました。

課題と限界

AI脆弱性ハンターは大きな可能性を秘めているものの、重大な課題にも直面しています。複数のソフトウェアプロジェクトのメンテナーは、AIの「ハルシネーション」によって生成された大量の誤った脆弱性レポートを受け取ったと不満を述べています。これらのレポートは価値があるように見えますが、実際にはAIが作り出した内容であり、業界では「脆弱性報奨金分野におけるAIのゴミ」と呼ばれています。

技術仕様とセキュリティ上の考慮事項

公開情報によると、Big SleepはGemini大規模言語モデル技術を採用しており、以下のことが可能です。

• コードベースを自動スキャンし、潜在的なセキュリティ脆弱性を特定する
• 発見された問題を独立して検証し、再現する
• Googleのセキュリティコードレビューパイプラインと統合する
• 修正パッチの提案を行う

影響を受けるソフトウェアを保護するため、Googleは標準的な開示ポリシーに従い、脆弱性の修正が完了するまで具体的な詳細は公開していません。

最近の主要な発見

これら20件の脆弱性に加え、Big Sleepは最近、SQLiteの脆弱性（CVE-2025-6965）も発見しました。これは、脅威アクターのみが知っており、悪用される危険性がある重要なセキュリティ欠陥です。Googleは、AIエージェントが現実世界での脆弱性悪用を直接阻止した初の事例であると主張しています。

今後の展望

アナリストは、AI駆動のサイバーセキュリティツールで遅れをとっている組織は、従来の監査では発見が困難な潜在的な脆弱性の脅威に直面する可能性があると予測しています。最高情報セキュリティ責任者（CISO）は、同様の機械学習駆動型コードスキャナーを試験的に導入し、モデルのトレーニングを開始するために、過去の脆弱性データのラベリングに投資することを検討すべきです。

業界の反応

サイバーセキュリティの専門家は、この進展に楽観的な見方を示しており、あるユーザーはソーシャルメディアでGoogleのツールをプロアクティブな防御における「ゲームチェンジャー」と称賛しつつ、誤報を避けるための人間による監視の必要性も強調しました。

このブレイクスルーは、サイバーセキュリティ分野におけるAIの大きな可能性を示すだけでなく、将来のサイバーセキュリティが人間と機械の協調モデルにますます依存し、機械の精度と人間の創造性を組み合わせることで脆弱性悪用ウィンドウを短縮し、企業と消費者の双方に利益をもたらすことを示唆しています。