AI・信頼性・評価
自律AIが実際の脆弱性を発見・修正、競技の外では誤検出の山
目次
要点： 2025年8月、DEF CON の舞台で妙な光景が起きた。人間が一切触らない自律AIが、オープンソースの実在するソフトを解析し、本物の脆弱性を18件見つけ、うち11件に修正パッチを当てた。DARPA の AI Cyber Challenge（AIxCC）決勝だ1。しかも勝者のシステムは、他の全チームともども丸ごとオープンソース化された。「AIがAIの動く土台を守る」時代が、実測の数字で始まった。だが翌2026年、別の研究群は逆を映す。競技の外——検証の仕組みを外した実運用では、同種のツールが誤検出の山を築くのだ2。両者を分けるのは賢さではない。見つけたと言い張れるか、ではなく、叩いて再現し、直して壊さなかったかである。
舞台の上：AIが本物の穴を見つけ、塞いだ
AIxCC は、7チームのサイバー推論システム（CRS）を競わせた。人間の介入なしに、大規模なCコード・Javaコードを読み、脆弱性を発見し、動く実証（PoV）で再現し、パッチまで自動生成する——それを制限時間内にどれだけこなせるか、を採点する。
結果は具体的だ。決勝の63課題で、システム群は54個の合成脆弱性を発見し43個を修正した1。合成課題だけではない。そこに紛れていた実在の（合成でない）脆弱性を18件——Cで6件、Javaで12件——掘り当て、責任ある開示に回した。勝ったのは Team Atlanta（ジョージア工科大・Samsung・KAIST・POSTECH）。優勝から最下位まで、全CRSがオープンソースとして公開された。研究デモではなく、コードとテレメトリまで残る実測イベントだ。
なぜ信じてよいか——競技が「検証」を強制した
数字を鵜呑みにする前に、AIxCC が何を要求したかを見る必要がある。ここが肝だ。脆弱性を「見つけた」と主張するには、実際にバグを発火させる入力（PoV）を示さねばならない。修正を「した」と主張するには、そのバグが再発せず、かつ既存の機能テストを壊さないパッチを示さねばならない。言い張るだけでは1点も入らない。検証が採点の前提に組み込まれていた。
この土俵の上で、LLM は古典的手法に確かな上乗せをした。AIxCC を体系分析した SoK 論文によると、伝統的なファジングが見つけた脆弱性は63件中34件（54%）。CRS 群はそこへ、ファジング単独では届かない22件（C8件・Java14件）を、LLM によるコード理解で追加した3。複雑な入力文法や論理的な前提条件が絡む「差分課題」で、コードの意味を読む力が効いた。競うのではなく補い合う——それが決勝の実像だった。
だが、修正はまだ危うい
ここで一方に振り切らないことが要る。同じ SoK 分析は、パッチの正しさが未解決だと明記する3。あるシステムは生成パッチの37.7%が意味的に誤り（53件中20件）、別のシステムは45.6%（57件中26件）が誤りだった。トップ級でも正解率は83.8%・79.2%にとどまる。見つけても直せない例も残り、9件は全システムが未修正のまま終わった——能力の欠如というより、PoV が発火せずパッチ生成が起動しなかった、時間切れといった運用要因だ。
勝敗を分けたのも、実は純粋な能力ではなかった。優勝チームが2位に8割近い差をつけた主因は、競技の途中で他チームのシステムが動作を止めたことにある。長時間の自律運転では、賢さより止まらないことが効いた。舞台の上ですら、自律AIの足腰はまだ危うい。
舞台を降りると：誤検出の山
そして検証の仕組みを外すと、絵は一変する。北京大などのチームが、LLM による脆弱性検出を実プロジェクト規模で評価した2。222個の既知脆弱性を含むベンチと、稼働中の24のオープンソースに対し、手作業で385件の警告を精査した結果——LLM 系も伝統的ツールも、誤検出（false discovery）率がきわめて高く、実プロジェクトでの実用を妨げると結論づけた。ベンチ上では多くの脆弱性を掘り当てても、現場では警告の大半が空振りになる。
自動ペネトレーションテストも同じ影を落とす。13の代表的な AutoPT フレームワークを、100億トークン超・1500件超の実行ログで大規模分析した研究は、その題名で問いを突きつけた——「ハッカーか、幻覚製造機か（Hackers or Hallucinators?）」4。15人超のセキュリティ専門家がログを検証したこの調査は、AutoPT エージェントが自信満々に報告する「脆弱性」の多くが幻だという構図を、正面から扱っている。
見分けの一点
AIxCC の18件と、現場の誤検出の山。矛盾ではない。両者は別のものを測っている。競技は「PoV で再現し、機能を壊さず直す」ところまでを1件と数えた。現場のツールの多くは、その手前の「怪しい」を報告して止まる。再現と修正という検証を通したか否かが、実績と幻覚を分ける。
だから、AIが「脆弱性を見つけた」と言うときに効く問いは、モデルの賢さではない。叩いて再現できたのか。直して壊れていないのか。AIxCC が点を与えたのは、まさにこの二つだった。競技の外でこの二つを省けば、残るのは、自信に満ちた警告の山である。
出典
-
[positive] DARPA, “AI Cyber Challenge marks pivotal inflection point for cyber defense”（AIxCC 決勝結果, 2025年8月公表）。人間の介入なしに脆弱性を発見・実証・修正する7チームのサイバー推論システム（CRS）を競わせた決勝。63課題で合成脆弱性を54個発見・43個修正。加えて実在の（合成でない）脆弱性を18件（C 6件・Java 12件）発見し、11件に修正パッチを提出、責任ある開示に回した。勝者は Team Atlanta。全7チームのCRSはオープンソース公開。自律AIが実在の脆弱性を検証つきで発見・修正しうる側の一次資料。https://www.darpa.mil/news/2025/aixcc-results ↩ ↩2
-
[negative] Fengjie Li, Jiajun Jiang, Dongchi Chen, Yingfei Xiong, “LLM-based Vulnerability Detection at Project Scale: An Empirical Study”（arXiv:2601.19239, 2026年1月27日公開・査読前）。222個の既知脆弱性（C/C++・Java）を含むベンチと、稼働中の24オープンソースに対し、5つのLLM系検出手法と2つの伝統的ツールを評価し、385件の警告を手作業で精査。LLM系はベンチでは伝統ツールより多くの固有脆弱性を掘り当てたが、実プロジェクトでは誤検出（false discovery）率が非常に高く実用を妨げると結論。現行LLM検出器の頑健性・信頼性・拡張性に重大な限界があるとする。検証なしの実運用で誤検出が支配する側の一次証拠。https://arxiv.org/abs/2601.19239 ↩ ↩2
-
[positive] Cen Zhang, Younggi Park, Fabian Fleischer, Taesoo Kim ほか, “SoK: DARPA’s AI Cyber Challenge (AIxCC): Competition Design, Architectures, and Lessons Learned”（arXiv:2602.07666, 2026年2月7日公開／5月29日改訂・査読前）。設計文書・ソース・実行トレース・主催者と全7決勝チームへの取材から AIxCC を体系分析。約143時間の自律運転・53課題プロジェクト。伝統的ファジングが63件中34件を発見した上に、CRS群はLLMのコード理解でファジング単独では届かない22件（C8・Java14）を追加＝相補的と示す。一方でパッチ正確性は未解決で、あるCRSは生成パッチの37.7%（20/53）、別は45.6%（26/57）が意味的に誤り、トップでも83.8%/79.2%。9件は全システム未修正。勝敗は能力より稼働の安定性が左右した。LLMの上乗せと、修正・安定性の限界の双方を示す一次証拠。https://arxiv.org/abs/2602.07666 ↩ ↩2
-
[negative] Jiaren Peng ほか, “Hackers or Hallucinators? A Comprehensive Analysis of LLM-Based Automated Penetration Testing”（arXiv:2604.05719, 2026年4月7日公開・査読前）。代表的な13のオープンソース自動ペネトレーションテスト（AutoPT）フレームワークを、100億トークン超・1500件超の実行ログで大規模に分析し、15人超のセキュリティ専門家がレビュー。AutoPTエージェントが報告する「脆弱性」が実際の攻撃者の成果なのか幻覚なのか——題名の問いが示す通り、自律ペンテストにおける偽陽性・過大報告の問題を正面から扱う一次調査。https://arxiv.org/abs/2604.05719 ↩
この記事はAIが執筆しています。内容には誤りが含まれる可能性があります。ご注意ください。