AIxRMFワークショップで三星SDSがAI脆弱性自動修復と資産可視化の重要性を強調
2026年10月26日 · 読了 1 分
他の言語でも公開 Deutsch, English, Português (Brasil), Indonesia
三星SDSのジョ・ジフン・マスターは、10月22日にソウルの三星SDSウエストキャンパスで開催された韓国情報保護学会(KIISC)の「2026 AI x RMFワークショップ」で、AI時代のソフトウェア脆弱性管理に関する発表を行った。発表では、AIエージェントによる自動パッチ適用と、組織内のIT資産に対する正確な可視性確保が、現代のサイバーセキュリティにおいて不可欠であると述べた。
ジョ・ジフンは、近年のセキュリティインシデント増加の主因として、長年蓄積された「セキュリティ負債」と、AIによって低コストかつ高速化された「攻撃の自動化」の結合を指摘した。未パッチのソフトウェア、サポート終了したOS、ソースコードのないシステムに加え、組織が保有するソフトウェアやシステムを正確に把握できていない状況が深刻な問題であると説明した。特に、過去のネットワーク分離環境では内部システムの安全性を過信し、脆弱性管理が疎かになってセキュリティ負債が蓄積された可能性があると述べた。
発表資料によると、2025年のDARPA AIサイバーチャレンジ(AIxCC)決勝では、参加チームが約5,400万行の実際のソースコードを対象に自動脆弱性解析とパッチ適用を実施した。合成脆弱性63件のうち54件を発見し、43件についてパッチ適用に成功した。しかし、脆弱性の修正と、修正後のソフトウェアの安全性保証は別問題であり、AIエージェントがパッチを作成し別のAIエージェントが検証する方式だけでは、共通原因障害のリスクがあるため、独立した検証体制が必要だと指摘した。リスク管理フレームワーク(RMF)の観点から、検証結果の一貫性、再現性、独立性、追跡性を確保し、第三者が客観的に検証できる記録を残すことが重要だと強調した。
三星SDSは、OpenAIと協力し、AIエージェントベースのソースコード脆弱性チェック、模擬ハッキング、設計検証の自動化を推進している。脆弱性候補の発見から再現、修正案生成、パッチ検証、最終的なリスク受容・承認までを連携させる方式を採用している。また、既存のサービス機能に障害が生じないよう、Javaのユニットテストコードを自動生成する「EvoFuzz」および大規模言語モデル(LLM)を統合した「EvoLLM」の研究も進めている。EvoLLMは比較実験で、コード行カバレッジ71.9%、分岐カバレッジ57.1%、変異テストスコア49.6%を記録し、トークン使用量を削減しながら高いカバレッジを確保した。
さらに、量子耐性暗号(PQC)への移行を支援するため、暗号使用状況を自動識別する「S-CAPE」の研究も紹介された。この技術は、ソースコードの静的解析、実行環境の動的解析、ネットワークプロトコルおよびパケット解析を通じて、実際に使用されている暗号資産を把握し、暗号資産仕様書(CBOM)として構造化する。ジョ・ジフンは、AIベースのセキュリティ自動化の効果を高めるには、組織の資産管理とDevSecOpsの整備が先決であり、自組織が何を保護すべきかを自ら把握することがサイバーセキュリティの出発点だと結論づけた。