AIネイティブの脆弱性管理を手がけるスタートアップのAisleが、オープンソースのネットワークデータ転送ツール「curl」で未発見の脆弱性6件を発見しました。
curlのメンテナーは6件を認め、共通脆弱性識別子（CVE）の番号を割り当てました。
6件は、現地時間9月2日に公開された「curl 8.22.0」で修正されています。
記事の概要
Aisleは、AIを使ってオープンソースソフトウェアの脆弱性を分析するスタートアップです。
同社のセキュリティ分析システムは、curlについて、それまで見つかっていなかった脆弱性6件を発見しました。
curlの創始者であるDaniel Stenberg氏によると、発見の少し前にはClaude Mythos、OpenAIのCodex Security、ZeroPathで新たな脆弱性が見つかりませんでした。
一方、Aisleでは29件の脆弱性が見つかったとStenberg氏は述べています。
Linux安定版カーネルのメンテナーであるGreg Kroah-Hartman氏も、Aisleの取り組みを評価しています。
Red HatのJim Fuller氏は、Aisleがツールの限界を理解し、単にスキャナーを走らせる以上の作業をしている可能性を指摘しています。
curlで認められた6件は、最新版のcurl 8.22.0で修正されました。
curlのアドバイザリーデータベースでは、6件のCVEはいずれも深刻度が「低（Low）」とされています。
記事のポイント
- curlで6件を発見： Aisleの分析システムがcurlの未発見脆弱性6件を見つけ、メンテナーが認定してCVE番号を付与しました。
- 最新版で修正： 6件は現地時間9月2日公開のcurl 8.22.0で修正され、同リリースの脆弱性10件に含まれています。
- 専門家が評価： curlやLinuxのメンテナー、Red Hatのセキュリティ専門家が、Aisleの分析手法や報告の品質を評価しています。
このニュースがもたらす影響
- 導入を検討する企業： AIによる脆弱性検査を導入する企業は、検出件数だけでなく、メンテナーとの協議や報告の精度まで含めて運用設計を評価する必要がありそうです。
- OSSメンテナー： 複数のAIツールで結果に差が出たことから、外部分析を受け入れる際は、検証可能な報告と修正までの協力体制を選定基準にすることが求められそうです。
- 脆弱性管理業界： Aisleの事例は、AI脆弱性管理の競争軸がスキャンの自動化だけでなく、対象コードへの理解と結果の絞り込みに移る可能性を示しています。
このニュースの背景
Aisleは、AIを使ってオープンソースソフトウェアの脆弱性を分析しています。
curlのメンテナーによれば、Aisleでは29件の脆弱性が見つかった一方、発見の少し前に別の複数のAIツールでは新たな脆弱性が見つかりませんでした。
今回認められた6件は深刻度がいずれも「低（Low）」で、curl 8.22.0で修正されています。
関連するニュース
- Palo Alto NetworksのUnit 42が、AIで低技能攻撃者の攻撃力が高まる可能性を指摘しました。
- OpenAIは最新モデル「Astra」を一部ユーザーに公開し、安全性評価と専門家の懸念を示しました。
- Coddy Techの調査で、開発者の80％がAIコーディングの依存を懸念しました。
詳しい記事の内容はこちらから（引用元）
AIを活用した脆弱性管理スタートアップAisleが、curlで6件の未知の脆弱性を発見した。著名なAIコーディングツール…
https://japan.zdnet.com/article/35252340/