Google、AIで脆弱性500件超を発見。誤検知“ほぼゼロ”の検証手法

ITmedia エンタープライズは、GoogleがAIを使って500件を超える脆弱性を発見し、誤検知を“ほぼゼロ”に抑えたとする記事を掲載した。見出しは「AIの『見つけた』をうのみにしない」と打ち出しており、AIの検出結果を検証する仕組みが主題とみられる。

入手できた材料は見出しのみで、どのソフトウェアを対象にしたのか、どのAIモデルを使ったのか、検証をどのような手順で行ったのかといった詳細は確認できていない。

AIによる脆弱性探索では、検出件数を増やすこと以上に、誤検知をどう減らすかが実務上の課題になる。誤った報告が多ければ、開発者やメンテナーが一件ずつ確認する手間が膨らみ、結果として本物の脆弱性への対応が遅れるためだ。今回の記事は、AIの出力をそのまま報告せず、別の仕組みで裏付けてから扱うという設計思想を示したものといえる。具体的な方法は元記事で確認してほしい。