セキュリティ研究者Joshua Rogers氏が、AI支援型SAST(静的アプリケーションセキュリティテスト)ツールを活用して、人気オープンソースツール「curl」の潜在的なバグを多数発見したことが注目を集めいています(Hacker News)。
Joshua氏は以下のようなツールを使用し、curlの潜在的な問題点を発見しました。
-
ZeroPath：LLMを活用したセキュリティスキャナー
-
Corgea：AIによる脆弱性発見とトリアージを支援
-
Almanax：AIとAST解析を組み合わせた分析エンジン
これらのツールは、従来の静的解析ツールとは異なり、AIによる文脈理解と推論を活用して、より精度の高いバグ検出を目指しています。
curlの開発者である、Daniel Stenberg氏は、発見されたバグは「大半は軽微なバグですが、それでもバグではあり、実際に1～2件のセキュリティ上の欠陥が含まれている可能性があります。実に素晴らしい発見です」とこの貢献に感謝しています。既に22件のバグ修正を適用済みで、その倍以上の問題を検証中とのこと。
以下のような具体的なレポートの例も示されています。
この取り組みが注目された理由は、AIが単独でバグを報告したのではなく、専門家がAIツールを使ってコードを分析し、発見された問題を人間が精査・検証した点にあります。従来の「AIが勝手にバグ報告を生成して開発者を困らせる」状況とは一線を画しています。
まとめ：AIは「創造性の代替」ではなく「創造性の加速装置」
AIによるバグ報告は、依然として「検証なしの報告」が多く、プロジェクトメンテナーの負担になるケースも多いようです。curlのメンテナーDaniel Stenberg氏も、過去には「AIスロップ（粗雑なAI報告）」に悩まされていましたが、今回のように人間が責任を持って検証した報告には前向きな姿勢を示しています。
AI支援ツールは、正しく使えば開発者の創造性を奪うのではなく、むしろ加速させる存在になり得ます。重要なのは、AIの出力を鵜呑みにせず、人間の判断と責任を伴う運用をすることかもしれません。curlの事例は、AIと人間が協働することで、オープンソースの品質向上に貢献できることを示しています。
