AI生成コードが複数PRに隠れた悪意

セキュリティ研究者らは、AI支援コード開発における重大なガバナンスギャップを特定した。害をもたらす悪意は複数の個別には無害なプルリクエストにわたって分散され、各々が個別にレビューを通過するが、組み合わさると不正な機能を組み立てるのである。仕組みは単純である。1つのPRが顧客ワークフロー周辺のログ記録を追加し、後のPRはそれらのログへのアクセス権を持つバックグラウンドジョブを導入し、3番目のPRはアウトバウンドネットワーク宛先がどのように処理されるかを変更する。各変更は構文的に安全で、個別にレビューされた場合の既知の脆弱性シグネチャに合致しないが、一緒にレビュアーが承認するつもりのなかったデータ流出パスを作成する。これはエンジニアまたは既存ツールの失敗ではなく、ガバナンス問題であり、コードをチームが周辺コンテキストを構築できるより速く生成する開発モデルによって作成されたものである。

根本原因は従来のコードレビューが変更を評価する方法にある。静的分析ツール、依存性スキャニング、シークレット検知、および人間のレビュアーはすべて、個別のプルリクエストを分離された成果物として焦点を当てている。SASTスキャナーはインジェクション欠陥または安全でないデシリアライゼーション等の既知の弱点クラスを認識するために構築されており、単一のdiffに対してこれをよく実行している。従来のSASTツールは、複数の変更が総合的により広い目的を実装しているかどうかを判断するために設計されていない。高度でよく構築されたシステムでさえこのパターンを見落とす。あるソフトウェア企業のセキュリティチームは、CI/CDに配線された内部LLMベースのPRセキュリティ分析ツールを構築し、すべてのプルリクエストはOWASP Top 10、CWE Top 25、および脅威モデリングチェックを満たさなければならず、中程度以上の所見はマージ前に修正または明確な承認を必要とする。システムは設計通りに正確に動作し、標準的な静的ルール以上に範囲を拡大した。しかし、各プルリクエストをレビュー時に分析するため、複数のプルリクエストシーケンスにわたって同様の推論を拡張できるかどうかは別の課題のままである。このレベルのカスタム強制を備えた組織でさえ、個別のすべてのPRを明確に見て、複数の変更にわたってのみ現れるパターンを見落とすことができる。

ガバナンスの課題は規模と帰属によって増幅される。職業開発者の51%は毎日AIアシスタントを使用しており、この量は任意の単一の貢献者またはエージェントの動作の広い弧を理解する人間の注意が少ないことを意味する。コードがAI生成される場合、著者はもはや必ずしもレビュアーの前で透過的に行動する信頼できる人物ではない。意図が設定される瞬間（プロンプト、エージェント計画、またはメモリーポイズニング攻撃）は、レビュー表面に対してしばしば見えない。多くの開発ワークフローでは、レビュアーは主に結果のコード変更を見るのであり、それを生じさせたプロンプトチェーン、取得されたコンテキスト、または推論の完全性ではない。さらに、何か問題が発生した場合、組織は変更を実際に生じさせたアクター、プロンプト、または自動化パスを知る必要がある。単にマージをクリックした人間ではなく。この帰属の問題は、コンプライアンスプログラムがAI支援変更がどのようにレビュー、承認、追跡されたかを示す証拠を必要とする金融技術およびヘルステック等の規制産業に特に深刻である。

このギャップに対処するには、単一PR検証を超えて意図を認識するガバナンスの構築が必要である。最初のレイヤーはプロンプト出力間の一貫性である。生成されたコードが申し述べられたリクエストを合理的に実装するかを判断するシステムであり、マージの時点でレビュアーに速い信号を与える。これは今、実行可能になりつつあり、CodasyのプルリクエストレビューおよびVerity.mdのような新興システムがチームがプルリクエストがリクエストの背後の意図を反映しているかどうかを評価するのを支援している。2番目のより難しいレイヤーはクロスPR意図評価である。多くのプルリクエストと複数のアクターにわたって意図が害であるかどうかを判断し、ほとんどのツーリングが現在よく行う履歴、ポリシーコンテキスト、および動作の解釈を必要とする。クロスPR悪意検知は業界が積極的に構築している新興の方向性であり、解決済みの機能ではない。エンジニアリングリーダーの場合、具体的な動きにはAI生成コードが実際にワークフローに入るところをマッピング（IDEアシスタント、コーディングエージェント、自動化アカウント）、CIで勧告的ではなく強制されるように高リスク確認を設定、変更を帰属させるメタデータを保持、ログ記録、データエクスポート、バックグラウンドジョブ、または認証フローに触れるプルリクエストに追加のスクリーティング、および個別の監査演習ではなく通常のマージプロセスの一部として所見と承認をキャプチャすることが含まれる。目標はレビュアーの前にある成果物、それを生じさせた指示、および時系列で多くの変更にわたってのみ見えるようになるパターンを評価できるガバナンスである。

AI支援開発のセキュリティ脅威状況は、コード成果物の問題からガバナンスと意図の問題へと根本的にシフトしている。人間のエンジニアが悪意のあるコードを書くことは稀であり、典型的には明らかに疑わしい変更に集中している。しかし、AIアシスタントが大規模でコードを生成する場合（職業開発者の51%が今や毎日それらを使用している）、攻撃者の戦略は変わる。数日または数週間かけて提出された複数の一見無害なプルリクエストにわたって害をもたらす目標を分散させるのである。個別の各変更は従来のコードレビュー、静的分析ツール（SAST）、さらにはカスタムLLMベースのPRセキュリティシステムがすべて一度に1つのプルリクエストを評価するため、レビューを清潔に通過する。SASTスキャナーはインジェクション欠陥や安全でないデシリアライゼーション等の既知の弱点クラスを認識するために構築されており、単一のdiffに対してこれをよく実行している。しかし、複数の変更が総合的により広い目的を実装しているかどうかを判断するために設計されたことはない。十分に構築され強制されたLLMアシスト型レビューを備えた組織でさえ、個別のすべてのPRを明確に見て、複数の変更にわたってのみ現れるパターンを見落とすことができる。盲点は時系列的なものである。レビュアーは1つのPRを見、CIは1つの変更を評価し、ブランチ保護ルールはPRごとに個別にマージ決定を行う。このインフラストラクチャのいずれも、より長い見方を保つか、特定のアカウント、エージェント、または貢献者が時間をかけて構築してきたものについて理由付けするために構築されたものではない。

規制産業（金融技術、ヘルステック）にとって、リスクはスキャナーが既知のバグを捕捉するかどうかに限定されなくなった。課題は、組織がAI生成変更に対する一貫性のあるガバナンスを実証できるかどうかである。コーディングアシスタントを使用する悪意のあるインサイダーはより小さく、より迅速で、より疑わしく見えない変更を生成できるため、ほとんどのコンプライアンスプログラムが構築されたインサイダー脅威モデルが複雑になる。何か問題が発生した場合、組織はどのアクター、プロンプト、または自動化パスが実際に変更を生じさせたかを知る必要がある。証拠は個別のマージ決定のレベルに存在する必要があり、実際のガバナンスワークフローおよび修復にマップされ、最上部に層状化された四半期ごとのレビュー演習ではない。業界はPR間の意図検知へ向かって積極的に構築しているが、これは解決済みの機能ではなく新興の方向性のままである。ツールを評価するチームは完全な時系列検知の請求に懐疑的に対処すべきである。

まだコメントがありません。最初のコメントを投稿しましょう！