詳細を読む
Visaは8月27日（木）、オープンソースのセキュリティハーネス「VVAH」の新版を公開しました。脆弱性の発見から修正案の作成、悪用可否を検証する審査パネルまでを自動化し、人がレビューする前に本番コードへパッチを適用できる設計です。背景には、AIによる脆弱性発見の速度が人間の対応能力を上回り、修正のボトルネックが深刻化している事情があります。
新版のハーネスは全11段階で構成されています。前半で脆弱性を発見・検証し、10段階目で修正案を自動生成、11段階目の審査パネルがその修正で攻撃が防げるかを判定します。検証に失敗した場合は学習内容を保持したまま再修正を試みる仕組みで、Visaのタネハ社長は「見つけることより直すことが重要だ」と語っています。
今回の公開は、セキュリティ企業Tenet Securityが「GhostJacking」と呼ぶ攻撃手法をDEF CONで実演してから18日後というタイミングでした。ハーネスは6月の公開以降、スター数が2300を超えるまで急速に採用が広がっており、Visaは社内での先行運用を経て他社への提供に踏み切ったと説明しています。
一方でハーネスには修正案とファイル反映の間に承認ステップがなく、実行前・パッチ確認時・マージ前の3カ所で人が関与する設計にとどまります。OWASPの専門家スティーブ・ウィルソン氏は、モデルに自らDNS変更などの権限を与えないよう「認可の関門はモデルの外に置くべきだ」と警鐘を鳴らしています。
今回の刷新では、段階ごとに異なるAIモデルを使い分ける仕組みも導入されました。再現率の高いMythosと精度の高いOpusを組み合わせるほか、OpenAI互換モデルにも修正・検証機能を拡張しています。Visaは今後、この基盤をNvidia主導の業界連合にも提供する方針です。