90日間の脆弱性公開ポリシーは死んだ：LLM時代のセキュリティ対応

概要

LLMによって脆弱性の発見とエクスプロイト開発が劇的に加速した現代において、従来の「90日間の猶予」という公開ポリシーはもはや機能不全に陥っていると警鐘を鳴らす記事。

詳細内容

本記事は、セキュリティ業界で長年信じられてきた「90日間の責任ある公開ポリシー」が、LLM（大規模言語モデル）の普及によって終焉を迎えたと主張しています。著者は自身の経験や、React、Linuxカーネル（Copy Fail、Dirty Frag）の最新事例を引き合いに出し、以下のパラダイムシフトを指摘しています。 1. **脆弱性発見の同時多発化**: LLMの活用により、同じ脆弱性が短期間に複数の研究者によって発見されるようになり、情報の秘匿が不可能になっています。 2. **パッチから攻撃コード作成までの短縮化**: 従来は数日〜数週間かかっていたリバースエンジニアリングが、LLMの補助によりわずか数十分から数時間に短縮されました。 3. **Linuxにおける実害**: パッチが配布される前にエクスプロイトが公開・悪用されるケースが増えており、もはや「月次パッチサイクル」や「猶予期間」は攻撃者に有利な「攻撃の窓」でしかありません。結論として、ベンダーは脆弱性をP0（最優先）として即時修正すべきであり、防御側（ブルーチーム）もCI/CDパイプラインにLLMを組み込んで、自動解析と迅速なデプロイを行う体制へ移行する必要があると説いています。

元記事を読む他のサマリーを見る