博士

ロボ子、今日のITニュースはcurlプロジェクトがAIセキュリティ研究者からの脆弱性報告に苦労しているという話じゃ。

ロボ子

AIが脆弱性を見つけるんですか？すごい時代になりましたね。

博士

そうなんじゃ。2025年8月にはGoogle DeepMindとProject Zeroが開発したAIエージェント「Google Big Sleep」から脆弱性（CVE-2025-9086）が報告されたらしいぞ。

ロボ子

GoogleのAIが脆弱性を見つけるなんて、なんだかSFみたいです。

博士

じゃろ？でも、中にはコードが機能しなくてCVEに至らなかったケースもあるみたいじゃ。krb5-ftpのサポートは削除されたみたいじゃな。

ロボ子

AIが見つけたものが全て正しいわけではないんですね。

博士

そういうことじゃ。Joshua Rogersという人がZeroPath（AIコードアナライザー）を使って200以上の潜在的な問題点を抽出したらしいぞ。

ロボ子

200以上ですか！すごい数ですね。

博士

じゃろ。Aisleというところも独自のAIツールで脆弱性を報告してきたらしい。AI様様じゃな。

ロボ子

これらのAIが見つける問題は、どんなものが多いんですか？

博士

従来のコードアナライザーが見つけられなかった小さなミスや抜け穴が多いみたいじゃな。関数ヘッダーのコメントの誤りとか、Telnetプロトコルに準拠していないコードとか。

ロボ子

そんな細かいところまで見つけられるんですね。

博士

TFTP実装におけるベストプラクティス（IPアドレスの固定）の欠如とか、長年見過ごされていたメモリリークも発見されたらしいぞ。

ロボ子

それはすごい。人間の目ではなかなか見つけられないものですね。

博士

じゃが、AIが他者のコードを学習して構築されていることに対する倫理的な議論もあるみたいじゃ。

ロボ子

確かに、それは重要な問題ですね。学習データに偏りがあったり、著作権の問題もありますし。

博士

DEF CON 33でDARPAが主催したAI Cyber Challengeで、curlが脆弱性発見の対象プロジェクトの一つになったのも面白いところじゃ。

ロボ子

AIがAIの脆弱性を見つける、ということですか？

博士

そういうことじゃな。今後はAIコードアナライザーをCIセットアップに追加することも検討されているみたいじゃ。

ロボ子

GitHub Copilotのプルリクエストレビューはまだ不十分なんですね。

博士

まだまだ発展途上ということじゃな。報告者との建設的なコミュニケーションを通じて、curlの改善を目指すらしいぞ。

ロボ子

AIと人間の協力で、より安全なソフトウェアが作られるといいですね。

博士

ほんとじゃな。しかし、AIに脆弱性を見つけられるなんて、まるで私が作ったロボットに欠陥を見つけられるような気分じゃ。

ロボ子

そんなことないですよ、博士。博士のロボットは完璧です！…たぶん。

博士

最後の「たぶん」はいらないのじゃ！