OpenAI、AIが見つけた脆弱性の報告方針を策定：修正期限はあえて設けず

AIが生成したコードの脆弱性が懸念されてきた一方で、AI自身が休むことなく他者のコードを監査する時代がやってきました。

OpenAIは外部のサードパーティ製品やオープンソースソフトウェアで発見したセキュリティ上の欠陥をどう報告するかを定めた「外向的協調的脆弱性開示ポリシー」を発表しました。

同社は、開発したAIシステムがすでにサードパーティやオープンソースのコード内で未知のゼロデイ脆弱性を発見していることを明らかにしています。今後さらに多くの欠陥が見つかることを見越した事前対策です。

修正期限はあえて設定しない方針

セキュリティ業界では通常、報告から90日などの厳格な修正期限を設け、それを過ぎると詳細を公表する手法が一般的です。

しかしOpenAIは、開発者に配慮する立場を明確にし、開示までのスケジュールを原則として期限を定めないオープンエンドに設定しました。

AIがコードの論理を深く理解できるようになるにつれ、検知されるバグの数は増え、内容も複雑化しています。機械的に期日を迫るだけでは、オープンソースのメンテナーや開発企業が対応しきれなくなると判断したためです。

安全で恒久的なパッチを協力して作るため、柔軟な対応を基本とします。ただし公共の利益が優先されると判断した場合には、公表に踏み切る権利も維持しています。

大量検知を見据えたルール作り

新方針は、同社による日常的な研究や自社システムでの利用、依存するオープンソースの監査、さらにはAIツールを使った自動解析で発覚した問題を対象としています。

報告にあたっては、実効性の重視、協調、原則非公開での内密な連絡、そして摩擦の少ない手続きを原則として掲げています。

AIによる脆弱性発見が日常化する中で、相手側に過度な負担をかけずに適切なクレジットを付与しながら情報共有を進める仕組みを目指しています。

なぜ重要か

今回の取り組みは、現場の開発者への配慮と現実的な対応力を両立させた賢い一手だと考えます。

オープンソースのメンテナーにとって、一方的な修正期限を突きつけられない安心感は非常に大きいです。AIが見つけた深刻なバグを一方的に告発するのではなく、修正まで落ち着いて伴走する姿勢は開発コミュニティからの信頼につながります。

業界全体で見れば、従来の脆弱性開示ルールが通用しなくなる前兆と言えます。人間のリサーチャーを前提とした「90日ルール」は、AIが24時間体制で大量のゼロデイを掘り起こす時代には持ちこたえられません。

一方で、期限を設けないことで企業の対応が後回しにされる懸念も残ります。柔軟性と迅速な修正のバランスをどう保つか、AI時代の新たなセキュリティ基準づくりが試されています。