Google DeepMind、脆弱性を自律修復するAI「CodeMender」を発表

AIによる脆弱性の発見スピードが加速する中、人間の開発者だけで修正対応を続けるのは限界を迎えつつあります。

Google DeepMindは、ソフトウェアの脆弱性を自動で修正する新しいAIエージェント「CodeMender」を発表しました。

過去6か月間の検証において、CodeMenderはすでに450万行規模の大型リポジトリを含むオープンソースプロジェクトに対して、72件のセキュリティパッチを上流に提供し、マージされています。

表面的なエラーではなく根本原因を突き止める

クラッシュレポートがヒープバッファオーバーフローを示していても、実際の不具合はXMLパーサーのスタック管理の誤りにあるといったケースは珍しくありません。

CodeMenderはGemini Deep Thinkモデルの推論能力を活用し、デバッガーや静的解析、ファジングなどのツールを駆使して、問題の根本原因を特定します。

さらに、パッチ作成後の検証体制も自動化されています。専用の批評エージェントが変更前後のコードを比較し、元の機能が壊れていないかやデグレが発生していないかを検証します。

ビルドエラーやテスト失敗が起きた場合でも、CodeMender自身がフィードバックを受けて自動修正を繰り返し、高品質なコードに仕上げます。

レガシーコードを能動的に書き換えて先手を打つ

CodeMenderの特徴は、発見されたバグを直すだけでなく、既存コードを能動的に書き換える点にあります。

過去にゼロクリック攻撃に悪用された画像処理ライブラリlibwebpに対し、CodeMenderは境界外アクセスを防ぐ安全なアノテーションを自動付与しました。

コンパイラが実行時に境界チェックを強制することで、同種のバッファオーバーフロー脆弱性が永久に成立しない構造へとコードベースを刷新できます。

安全性を考慮し、現時点では作成されたすべてのパッチを人間のセキュリティ担当者が確認した上でオープンソースコミュニティへ送出しています。

なぜ重要か

世界中の重要なIT基盤を支えるオープンソースの多くは、数少ない有志の手で維持されており、セキュリティ対応の負担が限界に達しています。CodeMenderのような仕組みが実用化されれば、メンテナーは日々のパッチ当て作業から解放され、本来の開発業務に専念できるようになります。

私たちは、AIによる脆弱性探索ツールが高度化する中、防衛側の修復作業を自動化する今回の取り組みは必然の進化だと考えています。単にコードを自動補完するだけでなく、コンパイルを通して自己修正しながら安全性を保証するアプローチは非常に手堅い印象を受けます。

ただし、セキュリティ修正において小さな見落としは致命傷になり得ます。自動化パッチが潜在的なバックドアを生むリスクを排除するためにも、当面は人間による最終チェックが不可欠であり、開発者が完全自動マージを受け入れるまでにはまだ時間がかかりそうです。