攻撃は進化する。GitHubとAIで、脆弱性の診断・修正を続けよう

小さな弱点も、組み合わせれば侵入口になる

CISAは2025年8月、SharePoint Serverの2つの脆弱性を組み合わせた「ToolShell」による不正アクセスを報告しました。認証を回避する弱点が、別の処理を悪用する入口になるような攻撃です。

重大度の高い項目を優先しつつ、ほかの警告も一通り確認する。公開範囲や権限、関連機能まで見て、攻撃につながる経路を減らすことが大切です。

GitHubのアラートを有効にし、AIで対応を進める

GitHubのSettings → Advanced SecurityでDependabot alertsを有効にします。Dependency graphで依存関係が認識されていることを確かめ、Dependabot security updatesも有効にすると、対応可能な修正版への更新PRが作成されます。

AIにはアラートとコードを読ませ、影響調査、更新、互換性の修正、テストまで依頼します。変更はレビューできる単位に分け、実行結果を確認して取り込みます。依頼は、たとえば次のようにまとめられます。

「未対応アラートを一通り調査し、影響と優先順位を整理してください。関連する修正ごとに更新し、テストを実行してください。未解決の項目は理由と次の対応を残してください。」

新しいAIモデルが出たら、診断もアップデートする

Dependabotが扱うのは既知の依存関係の問題です。認証・権限・設定なども含め、許可した検証環境でアプリケーション全体を定期的に診断しましょう。

当社では、新しいAIエージェントモデルの登場も、診断方法を見直すきっかけにすることを提案します。モデルを替えるだけでなく、最新の脆弱性情報や攻撃手法を診断項目に反映し、以前の診断で見落としていた問題がないか確かめます。

新モデルが必ず多くの問題を見つけるとは限りません。検出件数より、再現できる根拠と修正につながる結果を重視します。重大な脆弱性が公表されたときは、定期診断やモデル更新を待たずに対応します。

診断して終わらず、見つかった穴を塞ぎ切る

修正は本番への反映と再テストまでが一組です。すぐに直せない問題はアクセス制限などで影響を抑え、担当者と期限を決めます。アラートがゼロでも安全の保証にはなりません。見つかった問題への対応を完了し、次の診断を続けることが重要です。