オープンソース・セキュリティのストリップ・マイニング時代

オープンソース・ソフトウェア（OSS）のセキュリティ情勢は、根本的な変化を遂げようとしています。私たちは、一部で「ストリップ・マイニング時代」と呼ばれる時代に突入しました。そこでは、大規模言語モデル（LLM）やAI搭載のスキャナーが、膨大な量のコードを迅速に解析し、以前では想像もできなかった規模とスピードで潜在的な脆弱性を特定できるようになっています。バグを見つけるという目的自体は本質的にポジティブなものですが、報告される件数のあまりの多さが、インターネットを支える人々、すなわちボランティアのメンテナにシステム的な負荷を与えています。

この変化は単にツールが向上したということだけではありません。脆弱性発見の経済学における変化でもあります。研究者がリポジトリに対してAIを向け、数秒で数十もの潜在的な問題を生成できるようになったとき、トリアージ（優先順位付け）の負担は、発見者からメンテナへと完全に移り変わります。

自動発見の負担

長年、オープンソースの「多くの目」理論は、可視性が高まるほどコードがより安全になると示唆してきました。しかし、AI時代はパラドックスをもたらします。もしメンテナがノイズによって圧倒されてしまうなら、より多くの「目」（自動スキャナーの形をとったもの）は、実際にはセキュリティを低下させる可能性があります。

多くのメンテナは現在、報告の洪水に直面しています。緊張が生じるのは、自動化ツールが本物の重大な欠陥と誤検知（false positives）を混在させて生成するときです。ある開発者が指摘したように、脆弱性を検証するプロセスにはかなりの時間がかかり、その検証なしでは、研究者は本質的に未検証の欠陥をメンテナに「スパム」していることになります。

I find myself struggling to justify the approach of firing off defects to an OSS maintainer without verifying them - which takes considerable time if I am going to do a good job.

これは、多くの場合、空き時間に活動するボランティアであるメンテナが、自分たちが求めておらず、対価も支払われていないツールによって発見された脆弱性を修正するために、すべてを投げ出して対応することを期待されるという、不安定な環境を生み出しています。

AI時代におけるオープンソース vs. クローズドソース

「ストリップ・マイニング」をめぐる議論は、オープンソースとクローズドソース・ソフトウェアの相対的なセキュリティに関する、より広範な議論を巻き起こしました。伝統的に、クローズドソースは「隠蔽によるセキュリティ（security through obscurity）」に依存してきました。しかし、AIは、この利点を侵食しています。

現代のLLMは、バイナリを読み取り可能なコードへとリバースエンジニアリングする能力がますます高まっています。これは、クローズドソース・ソフトウェアが、ソースコードが公開されていないという理由だけで安全であるとはもういえないことを意味します。もしAIがバイナリについて推論できるのであれば、公開されている GitHub リポジトリで見つけるのと同じゼロデイ脆弱性を、バイナリからも見つけ出すことができるからです。

逆に、一部の人々は、オープンソースの方が最終的にはより回復力（resilient）を持つようになると主張しています。AIによって発見されるバグの「津波」は、今は圧倒的なものかもしれませんが、長期的には、最も明白な欠陥がエコシステムから排除され、全体的なコードの品質が向上するというプラトー（停滞期）に達する可能性があります。

サステナビリティ（持続可能性）の危機

技術的な課題の背後には、人間的な課題があります。オープンソースのモデルはボランティア精神に基づいていますが、セキュリティの期待値は企業レベルにまでシフトしています。企業は重要なインフラストラクチャとしてOSSに依存していますが、AIが生成したバグ報告の猛攻を受けているメンテナに対して、しばしば財務的な支援を行いません。

これは、いくつかの重要な対立点をもたらしています：

• トリアージのギャップ: バグを報告する容易さと、それを修正する難しさの間には、巨大な隔たりがあります。
• インセンティブの問題: バグバウンティ（脆弱性報奨金制度）がなければ、高品質な研究者が報告前にバグを検証する時間を費やすインセンティブがほとんどありません。その結果、焦点は質よりも量へと移ってしまいます。
• メンテナのジレンマ: メンテナは、自身の私生活と、彼らの無料ソフトウェアを使用しているグローバル企業の緊急のセキュリティニーズとの間で、選択を迫られています。

前進するために：ノイズからシグナルへ

OSSセキュリティの「ストリップ・マイニング」は、災厄なのか、それとも必要な進化なのか？ 一部の人々はそれを「脆弱性アポカリプス（終末）」と見なしていますが、他の人々は、コードの品質を向上させるためのステップ関数的な増加と見なしています。核心的な真実は、AIが欠陥を見つける前に、コードはすでに壊れていたということです。欠陥を知ることは、欠陥を修正するための唯一の方法です。

この時代を生き抜くために、エコシステムは、より厳格な内部スクリーニング・プロセスへと移行し、さらに、重要なOSSのメンテナンスをどのように資金提供するかという転換が必要になるかもしれません。攻撃のためのツールがより身近になるにつれ、防御のためのツール、そしてそれらを使う人々への資金提供も、それに応じてスケールアップしなければなりません。