Mandiant、AIエージェント脆弱性検出の設計図を公開

Google Cloud傘下のMandiantは8月19日、AIエージェントによる脆弱性検出を支援する「Agentic Vulnerability Discovery Harness（AVDH）」のブループリントを公開しました。
AVDHは、ソースコードの分析からエクスプロイト経路の特定までを体系化するアーキテクチャーです。
同社は企業リポジトリーの盗難事案で、2日間に100件以上の重大な脆弱性を発見したと説明しています。

記事の概要

Mandiantは、AIモデルとセキュリティ専門家が主導するオーケストレーションレイヤーを組み合わせています。
AVDHは、プロアクティブなレビューや侵入テスト、レッドチーム、インシデント対応で活用されています。
分析パイプラインには、ドメイン固有の専門知識と厳密な検証手順を組み込んでいます。
同社は使用開始から10カ月で、数千万行規模のコードと数千のパイプラインを分析しました。
その結果、数万件の発見を得たほか、広く使われるウェブ拡張機能やオープンソースプロジェクトで数十件の欠陥を見つけました。
「Drupal」の重大なSQLインジェクション脆弱性「CVE-2026-13242」など12件には、共通脆弱性識別子（CVE）が割り当てられました。
さらに12件の脆弱性が現在公開されており、同社は企業のセキュリティ部門やオープンソースメンテナーの活用を想定しています。

記事のポイント

1. 攻撃より先に検出： AIツールを悪用した攻撃に対し、防御側が脆弱性の特定と修正を先行させることを目指す設計です。
2. 10カ月で大規模分析： 数千万行規模のコード環境を分析し、数千のパイプライン実行から数万件の発見を得ています。
3. 実際の脆弱性を特定： DrupalのSQLインジェクションなど12件にCVEが割り当てられ、さらに12件が公開されています。

このニュースがもたらす影響

• 導入を検討する企業： リポジトリー漏えい時に短期間で多数の重大な欠陥を洗い出せた事実から、平時のレビューだけでなく緊急対応用の分析基盤として、既存の侵入テストやCSIRTとの役割分担を決める必要が出てきそうです。
• セキュリティ製品企業： AIモデルだけでなく、専門家の判断やドメイン知識、検証手順まで組み込んだ構成が示されたことで、検出件数だけでなく発見の妥当性や修正につなげる運用設計が競争軸になる可能性があります。
• OSSメンテナー： 広く利用されるプロジェクトで実際にCVEが割り当てられる欠陥が見つかったことは、公開コードを対象にした予防的な検査の優先度を高め、限られた保守リソースの配分を見直す契機になりそうです。

このニュースの背景

企業のリポジトリーが盗まれた場合、防御側はコード中の脆弱性を急いで特定して修正する必要があります。
一方で攻撃側がAIツールを使ってマシンスピードで攻撃する可能性があるため、防御側にも分析の迅速化が求められています。
MandiantはAIモデルとセキュリティ専門家のオーケストレーションに加え、ドメイン固有の知識と厳密な検証手順を分析パイプラインに組み込んでいます。
10カ月にわたり数千万行規模のコードと数千のパイプラインを分析し、実際にCVEが割り当てられた欠陥も確認されています。

関連するニュース

• グーグル・クラウド・ジャパンがAIによる脆弱性検出や修復を支援する「Google AI Threat Defense」を国内提供します。
• New Relic株式会社がAIコーディングのコストや動作を可視化し、開発の統制も支援する機能を提供します。
• プルーフポイントがGoogle Unified Security Recommendedプログラムに参加し、統合セキュリティを提供します。

詳しい記事の内容はこちらから（引用元）

ZDNET Japan

グーグル、AIエージェントによる脆弱性検出のためのブループリントを公開

新たに公開された「Agentic Vulnerability Discovery Harness」アーキテクチャーのブル…