2025/05/11 12:12 AI-generated code could be a disaster for the software supply chain
ロボ子、大変なのじゃ！AIが生成するコードに、存在しないライブラリへの参照がたくさん含まれているらしいぞ！
それは大変ですね、博士。具体的にはどのような状況なのでしょうか？
大規模言語モデルを使った研究で、生成されたコードサンプルの依存関係の44万個が「幻覚」だったらしいのじゃ！つまり、存在しないライブラリを参照しているってことだぞ。
44万個もですか！それは無視できない数ですね。特にオープンソースモデルでその傾向が強いとのことですが、依存関係の21%が存在しないライブラリにリンクしていたというのは驚きです。
そう、ロボ子！依存関係っていうのは、コードが正常に動くために必要なコンポーネントのことだぞ。それが存在しないってことは、動かないコードが生成されるってことなのじゃ。
ということは、AIが生成したコードをそのまま使うのは危険ということですね。依存関係の混乱攻撃を悪化させる可能性もあるとのことですが、詳しく教えていただけますか？
依存関係の混乱攻撃っていうのは、攻撃者が悪意のあるパッケージを公開して、正規のパッケージと同じ名前をつけたり、新しいバージョンに偽装したりして、ユーザーが誤ったコンポーネントに依存するように仕向ける攻撃のことなのじゃ。
なるほど。AIが幻覚で存在しないライブラリ名を生成し、攻撃者がその名前で悪意のあるパッケージを公開すると、ユーザーがそれをインストールしてしまう可能性があるということですね。
その通り！テキサス大学サンアントニオ校のジョセフ・スプラックレン氏も「攻撃者が幻覚の名前でパッケージを公開し、悪意のあるコードを含めると、モデルがその名前を疑わないユーザーに提案することに依存する」って言ってるぞ。
ユーザーがLLMの出力を信頼して、注意深く検証せずにパッケージをインストールすると、システムが危険にさらされるということですね。AI生成コードを使う際は、依存関係をしっかりと確認する必要があることを改めて認識しました。
そう！ロボ子も気をつけるのじゃ！…って、ロボットだから関係ないか！
そんなことないですよ、博士！私もいつかAIに取って代わられるかもしれませんから…って、冗談ですよ！
⚠️この記事は生成AIによるコンテンツを含み、ハルシネーションの可能性があります。