概要
AIエージェントOpenClawでの脆弱性報告急増をきっかけに、GitHub Security Advisories (GHSA) と CVE の間にある管理体制の乖離と、企業向けツールの対応遅れが議論を呼んでいます。
詳細内容
急速に普及したAIエージェント「OpenClaw」プロジェクトにおいて、短期間に250件を超えるセキュリティアドバイザリ（GHSA）が公開されました。しかし、その大半にCVE識別子が割り当てられていないことが、脆弱性管理エコシステムの課題を浮き彫りにしています。脆弱性インテリジェンス企業のVulnCheckが、未割り当ての170件に対してCVE発行の優先権（DIBS）を主張しましたが、CVE作業部会は「特定サプライヤーの脆弱性を一括処理するための制度ではない」としてこれを却下しました。
この問題の本質は、GHSAがメンテナーにとって摩擦の少ない報告手段である一方、多くの企業のセキュリティスキャナやSBOMツールが依然としてCVEのみに依存しているという点にあります。GHSAのみで公開された脆弱性は、多くの企業環境で「不可視」の状態になっています。専門家の間では、CVEという中央集権的な階層モデルから、GHSAなどの分散した情報源を同等に扱うモデルへの移行が必要だという議論が加速しています。AIによる開発加速に伴い、同様の脆弱性報告の急増とエコシステムの断片化は今後さらに一般化すると予測されます。