出典：GitHub公式
詳細を読む
GitHubは2026年10月22日、同社のBug Bounty Programで高い成果を上げるセキュリティ研究者「@r31n」へのインタビューを公開しました。AIによる未検証の報告が増える中、コード探索やPoC作成をAIで速めても、脆弱性を手動で再現し、動く概念実証と実際の影響を示すことが有効な報告の条件だと強調しています。
@r31nは、GitHub Enterprise Serverで影響の大きい問題を繰り返し発見し、再現手順を明確にした報告で修正を速めてきました。GitHubの広く複雑で変化し続ける攻撃対象領域は、普段触れない製品や構成を学び、セキュリティ技能を磨く場になっていると説明します。
調査では、まずアプリ全体を把握し、複雑な機能、外部連携、信頼境界に注目します。攻撃者が制御するデータの流入口から、通信、ファイル操作、コマンド実行、認可判断などの重要な処理までを追い、経路、検証、境界越えを確かめてからPoCで成立を証明します。
AIは未知のコードの把握、呼び出し箇所の探索、データの追跡、PoC用スクリプトの作成に役立ちます。ただし広い質問ではなく、既知の状況を与えて論点を絞る必要があり、幻覚や誤検知もあるため、AIの結論を事実として扱わないことが重要です。
AI搭載機能の検査でも、モデルを意図外に動かせるかではなく、その影響で不正なアクセスや権限行使が可能になるかを問います。モデルの防御策だけに頼らず、認可、最小権限、隔離、入力検証を設け、モデル出力を信頼しない設計が必要です。チェックリストをなぞるより一つの対象を深く理解し、仕組みやデータの流れを問い続ける姿勢が、最初の有効な報告への近道になります。