概要
https://etn.se/index.php/72494
詳細内容
## AIツールがcURLで50個のバグを発見――「AI slop」の風評を覆す
https://etn.se/index.php/72494
AIツールがcURLで50個の実際バグを発見し、従来の静的解析ツールが見落としていた脆弱性を特定できる生成AIの新たな能力を実証しました。
**Content Type**: 🎭 AI Hype
**Scores**: Signal:4/5 | Depth:4/5 | Unique:4/5 | Practical:4/5 | Anti-Hype:5/5
**Main Journal**: 87/100 | **Annex Potential**: 88/100 | **Overall**: 84/100
**Topics**: [[AIセキュリティテスト, 静的コード解析, LLM活用, 脆弱性発見, オープンソースセキュリティ]]
サイバーセキュリティ研究者のJoshua Rogers氏が、LLMベースの静的アプリケーションセキュリティテスト（SAST）ツールを適切に活用し、広く使われているオープンソースプロジェクトcURL内で50個もの実際のバグを発見したことが報じられました。これは、cURLのメンテナーであるDaniel Stenberg氏が以前、AIが生成する無価値なバグレポート（「AI slop」）に不満を表明していた状況を覆す画期的な出来事です。これまで、「AI slop」という批判が多かったAIによるバグ報告が、その真の有用性を明確に示した点で注目に値します。
本件が特に重要なのは、これらのバグが長年にわたりclang-tidy、scan-build、CodeSonar、Coverityといった従来の静的解析ツールによって見過ごされてきた点にあります。生成AIベースのツールは、自然言語（コメントやプロトコル定義など）とプログラミング言語の両方を理解する能力を持つため、コードの意図、ロジック、実装の不一致を検出し、従来のツールでは発見できなかった全く新しい種類の脆弱性を特定できます。これは、単に既知のエラーパターンを探す構文的アプローチに限界があることを示唆しており、より高度な意味論的理解に基づく解析がセキュリティテストのパラダイムを変える可能性を示しています。
Rogers氏の成功は、ツールを熟練した人間が活用することの重要性も強調しており、「有能な人間の手にある優れたツールは強力な組み合わせである」というDaniel Stenberg氏の言葉が象徴的です。彼はツールが提示した問題を複数の視点から分析し、手動および他のAIモデルを用いて慎重にレビューしました。ZeroPathのような商業ツールも台頭しており、AIがセキュリティテストにおいて「使えない代物」という認識を払拭し、実践的な価値をもたらすフェーズに入ったことを示唆しています。Webアプリケーション開発者にとって、これらのLLMベースのSASTツールは、自身のプロジェクトの堅牢性を高め、従来の静的解析では見過ごされがちな深刻な脆弱性から保護するための重要な手段となり得ます。これは、AIを活用した開発ワークフローにおけるセキュリティ強化の新たな一歩と言えるでしょう。