エンジニアリング - ENGINEERING -

AIが未発見のバグを検出 ─ GoogleがSQLiteにおける脆弱性をAI技術で特定　従来の手法では検出困難

2024年10月、Googleの研究チームProject Zeroが、DeepMindと共同で開発した大規模言語モデル（LLM）「Big Sleep」により、オープンソースデータベースエンジン「SQLite」における重大なバグを発見したことを[発表]{target=“_blank”}した。このバグは、SQLiteの開発者に報告され、すでに修正されている。 今回発見された脆弱性は「スタックバッファアンダーフロー」と呼ばれ、メモリ領域外への書き込みが発生する恐れがある。このため、悪意のある攻撃者が特定の条件下でコード実行やデータ改ざんなどを引き起こす可能性があったという。従来のソフトウェア検証に用いられてきた「ファジング」などの一般的な手法では、この種の脆弱性を検出することが難しく、AI技術の導入が新たな価値を提供したとのこと。 Big Sleepは、過去の脆弱性パターンを学習し、コード内の微細な変化や構造を分析することで、これまでの方法では見逃されがちなリスクを検知できるよう設計されている。Googleは、AIによる自動検出システムが将来的に防御側にとって有利に働き、リリース前のソフトウェアから脆弱性を排除することが可能になると期待を寄せている。 この発見は、AIが現実のソフトウェアコードに潜む未知の脆弱性を検出する能力を持つことを示した初の事例だと研究チームは述べる。この発見を契機に、AIによるセキュリティ技術の進化が今後も期待される。 :::box [関連記事：Googleの新規コードの25%以上がAI生成—ピチャイCEO、第3四半期決算でAI活用による生産性向上を強調] ::: :::box [関連記事：GitHub、AIによるコード脆弱性自動修正機能をパブリックベータで提供開始] :::