AI生成アプリに脆弱性434件、Vibe-Coding調査
- セキュリティ企業Xint.ioがAI生成アプリを分析し434件の悪用可能な脆弱性を発見したと報じられている
- サービス停止(DoS)攻撃につながる欠陥が最多で、権限管理不備や秘密情報の埋め込みも多数確認された
- アプリの規模が大きくなるほど権限管理の欠陥比率が増える傾向が見られたという
かんたんに言うと
AIに『作って』と頼んで作ったアプリの多くに、悪用されうる欠陥が見つかったと報じられている。ID・パスワードなどの秘密情報がコードに埋め込まれたままのケースもあるため、公開前に必ず人の目でチェックすべきだ。
AIセキュリティとの関連: AIがコードを自動生成する『Vibe-Coding』の普及に伴い、AI開発基盤自体の安全性が問われる事例のため。
一次情報(公式アドバイザリ・CVEレコード等)は確認できていません。本記事は下記の報道をもとに作成しています。
何が起きたか
SecurityWeekの報道によると、AI自動運用型ペネトレーションテストを手がけるXint.ioが、AIにコードを書かせる「Vibe-Coding」で作られたアプリを分析した。仕様書に基づく新規アプリ、簡単な指示だけで作った新規アプリ、既存の古いPHPアプリをLaravel+React構成に移植しAIで堅牢化したアプリの3パターンを、それぞれ30分間の実行時・ソースコード解析にかけた。その結果、合計434件の悪用可能な脆弱性が見つかったという。内訳は新規アプリ2件で196件、移植・堅牢化した既存アプリで238件だった。最も多かったのはレート制限やDoS(サービス妨害)対策の欠如で93件、次いで権限管理の不備(IDOR、本来アクセスできないデータへの到達)が88件、SSRF(サーバー側リクエスト偽造)なども含む境界越え系が54件だった。重大度の高い23件のうち最多は、APIキーなどの秘密情報がコードに直書きされているケースだった。
誰に・どう影響するか
中小企業では、開発者が仕様を細かく詰めずAIに丸投げしがちで、権限管理やレート制限の抜けに気づきにくい。専任のセキュリティ担当がいない場合、公開後にサーバー過負荷や情報漏えいが発生してから気づくリスクがある。大企業では、既存システムをAIで移行・改修する際に新たな脆弱性が入り込む点が課題となる。今回の調査でも、既存アプリを移植・堅牢化した際の欠陥数が新規アプリより多く、規模が大きいシステムほど権限管理の欠陥比率が上がる傾向が確認されたという。開発規模が大きい組織ほど、AI生成コードのレビュー体制強化が必要とされる。
今すぐやるべきアクション
- AI生成コードは動作確認だけでなく、実行時の負荷やリソース消費もテストする
- APIキーやパスワードなどの秘密情報がコード中に直書きされていないか確認する
- アプリの規模拡大時にはオブジェクト単位のアクセス権限(誰がどのデータに触れるか)を再点検する
- 本番リリース前に第三者によるコードレビューまたはペネトレーションテストを実施する
- AIへのプロンプトに、認可チェックやレート制限の実装を明示的に指示する
重大度の判定理由
重大度「中」: 特定製品の悪用事例ではなく、開発手法全般の傾向調査であり緊急対応を要する脆弱性ではないため