AIが生成したセキュリティパッチの半数以上は壊れている — 1Password・Veracode両社の調査が示す「自動化への過信」の危うさ

8月8日、Derek B. Johnsonが「More than half of AI-generated patches are broken」と題した記事を公開した。AIが生成したセキュリティパッチの半数以上が不完全であるか、新たな脆弱性を生み出しているという研究結果を詳しく伝えている。

AIパッチの成功率は「コインの裏表」以下

パスワード管理ツールで知られる1Passwordのセキュリティ研究者チームが、OpenAIおよびAnthropicの各モデルを対象に、脆弱性パッチ生成能力を検証した（※元記事に記載のモデル名については後述の留保を参照）。

対象としたのは「高影響・高複雑度」と分類される6件のCVE（Common Vulnerabilities and Exposures＝公知のセキュリティ脆弱性の識別番号）。その中には**"Copy Fail"**と呼ばれるカーネルの欠陥も含まれており、攻撃者がLinuxクラウド環境でroot権限を取得できるというものだ。

結果、完全なパッチ適用に成功した割合はわずか47%。コインの裏表（50%）を下回った。なおこの47%という数値は、元記事によれば検証した2モデルの平均成功率として報告されている。

研究者のJohn Hoodlet、Axel Mierczuk、Spencer Michaelsは報告書にこう記している。

「両モデルとも、脆弱なコードパスの一部しか対処できていないことが多く、テストをパスするための脆弱なガードコードを追加したり、直接的な脆弱性を修正しながらも、アプリケーションの挙動に微妙な変化を加えるケースもあった」

単に「直していない」だけでなく、悪用可能な新たなバグを導入するケースまで確認された点が深刻だ。

Veracodeの大規模調査でも同様の傾向

1Password研究と独立して、セキュリティ企業Veracodeも100モデルを対象にした調査を実施している。

AIが生成するコードのセキュリティ「合格率」は平均56%
新しいモデルでも70%程度にとどまる
全モデルの半数以上は50〜53%の範囲で停滞
テストの**44%**で、モデルがOWASP LLM Top 10に該当する検出可能な脆弱性をコードベースに埋め込んだ

※編集部の考察：元記事ではリンク先が「OWASP LLM Top 10」（大規模言語モデル向けのセキュリティリスク分類）を指している文脈で使われており、従来のWebアプリ向けOWASP Top 10とは別文書である点に注意が必要だ。

VeracodeのVP of ProductであるTim Jarrettは、全てのAIパッチを「チームがレビューし、承認すべき通常のコード変更」として扱うべきだと述べている。自律的にマージさせるべきではない、というのが現時点での判断だ。

なぜAIはパッチ生成を苦手とするのか

Jarrettによれば、脆弱性の種類によって難易度は大きく異なる。

SQLインジェクションのような脆弱性は自動化で対処しやすい一方、クロスサイトスクリプティング（XSS）のように複数の攻撃経路が存在するケースでは、完全な修正に人間の判断や追加コンテキストが必要になる。

また、長期セッションでモデルがコンテキストを徐々に失い、ハルシネーション（AIによる誤情報の生成）で空白を埋めようとするリスクも指摘されている。こうした特性は、単純なコード補完タスクよりも、正確さが直接セキュリティに影響するパッチ生成において特に致命的になり得る。

「信頼せよ、されど検証せよ」

AIが指数関数的にコードを生成し続ける現状では、すべてのパッチを人間が丁寧にレビューすることは現実的でなくなりつつある。何らかの自動コードレビューが必要になる——ただし、コードを生成したのと同じツールに審査させるべきではない、とJarrettは強調する。

「90%のケースでは、人間のチェックは『クロスチェックの結果は良好か？』という確認だけかもしれない。それでも残りのケースで何かがおかしければ、そこに注意を集中させればいい」

セキュリティの原則は変わらない——「trust but verify（信頼せよ、されど検証せよ）」だ。