[ITmedia News] PHPの「重大」脆弱性はAIが見つけた 「GPT-5.6 Solで発見」とOpenAI 「今後、AIによる脆弱性発見が急増」

著者 岡田有花

[ITmedia]

　米OpenAIは10月21日（現地時間）、PHPの重大な脆弱性2件のうち1件について、米セキュリティ企業のCalifが同社の「GPT-5.6 Sol」を使って発見したと発表した。

　同社は「今後数カ月で、AIによる同様の脆弱性発見が急増する」と予測。AI時代に対応したセキュリティの枠組みを、5段階で提案している。

OpenAIの発表より

「GPT-5.6 Sol」「Gemini 4 Argon」などで発見

　PHPの脆弱性について、同社は過去2カ月にわたり、保守担当者や研究者、セキュリティプロバイダーの連合を率い、調査や対策、政府との連携などを行ってきたという。

　OpenAIによると2件の脆弱性のうち1つは、米セキュリティ企業のCalifが「GPT-5.6 Sol」を使って発見。米Google傘下のセキュリティ企業Wizも2件の脆弱性を独自に発見し、報告していた。Wizは「GPT-5.6 Sol」のほか、Googleの「Gemini 4 Argon」、自社の「Wiz Atlas」といったAIを使って脆弱性を見つけたと報じられている。

　OpenAIは米政府とも連携。トランプ大統領が設置したAIタスクフォース「Super Intelligence Force」や、国家サイバー長官室（ONCD）などの米政府の複数組織と協力し、重要な組織にガイダンスを届ける支援をしたという。

　修正とリリースはPHPのメンテナーが主導し、Wizや米Cloudflareなどが、調査や技術支援、調整を担った。

　OpenAIは、PHPのバージョンチェッカーを、CodexスキルとしてGitHubで公開した。

「インターネット全体を常時スキャン」の未来も？　「地球にパッチを」

　同社は「AIは重大な脆弱性を見つけられるが、同じ能力は、攻撃者が攻撃ツールやエクスプロイトを素早く開発する助けにもなり得る」と指摘。今回は、同社が知る限り、攻撃者より先にAIが脆弱性を見つけたことで、防御側が対策を準備する時間を確保できたとみている。

　OpenAIは、脆弱性に対応する5段階の枠組みも提案。6月に発表した「Patch the Planet」（地球にパッチを当てる）と名付けた取り組みの経験を踏まえて進める。

「Patch the Planet」公式サイトより

　（1）上流の脆弱性を検証して修正する、（2）影響を受ける組織に対応する時間を与える、（3）重要システムを守るため政府パートナーと連携する、（4）影響を受ける製品全体で更新を準備する、（5）パッチ公開後にガイダンスを出して展開を支援する――の5つだ。セキュリティコミュニティに意見を求めている。

　将来には、インターネット全体を常時スキャンして既知の脆弱性を見つけ、サイトの所有者に通知するかパッチを当てるという最終形も想像できると述べている。

　長期的な目標としては、メモリ安全な言語への移行や形式検証など脆弱性そのものを減らす取り組みと、サンドボックスの強化など侵害時の被害を抑える取り組みを挙げた。

Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。