OSSをつくる人・つかう人と伴走するセキュリティ診断AIエージェント - その開発の歩み

「あなたの知らない "サプライチェーン攻撃"を語る セキュリティ Night ( https://findy.connpass.com/event/375960/ ) 」における @pizzacat83 の登壇資料です。

Transcript

1. OSSをつくる人・つかう人と伴走する セキュリティ診断AIエージェント 　－その開発の歩み あなたの知らない ”サプライチェーン攻撃”を語る セキュリティ Night (2025/12/04) ソフトウェアエンジニア @pizzacat83
2. $ whoami @pizzacat83 GMO Flatt Security ソフトウェアエンジニア 新卒2年目 インターンでセキュリティエンジニアの経験も セキュリティ若手の会 幹事 (第1期) すきなこと: 堅牢にものをつくる
3. © 2025 GMO Flatt Security Inc. All Rights Reserved. セキュリティ診断 AI
4. © 2025 GMO Flatt Security Inc. All Rights Reserved. 更新コードの定期診断 毎回 頼まなくても！
5. © 2025 GMO Flatt Security Inc. All Rights Reserved. ブラックボックス診断 弊社データセット（OJS-BB- Only）内 70% 検知率 弊社データセット（OJS-All）内 48% 検知率
6. © 2025 GMO Flatt Security Inc. All Rights Reserved. その他 チャットでも依頼可 Slack 上 Web 上
7. 「 を 悪用されるリスク」に対する セキュリティ診断 AI Takumi の 現在地とここから 依存する OSS ライブラリの脆弱性 たくさんあるけど 今日はここにスポットライト https://owasp.org/Top10/ja/2025/A03_2025-Software_Supply_Chain_Failures/ © 2025 GMO Flatt Security Inc. All Rights Reserved. 本題
8. 🕵️‍♂ ️ 👷 🧑‍💼 メンテナ セキュリティ研究者など OSS 利用者 脆弱性を発見・報告 修正版をリリース アプデして本番反映 脆弱性を修正 「OSS の脆弱性を直して世界を安全にする」にはいくつものステップがある
9. 🕵️‍♂ ️ 👷 🧑‍💼 メンテナ セキュリティ研究者など OSS 利用者 脆弱性を発見・報告 修正版をリリース アプデして本番反映 脆弱性を修正 様々なステップを支えるセキュリティ診断 AI へと成長中 (研究開発中)
10. https://www.anthropic.com/news/disrupting-AI-espionage © 2025 GMO Flatt Security Inc. All Rights Reserved. AI エージェントのスケーラビリティ・
 ケイパビリティを活用して
 脆弱性を発見しようとするのは
 善意のある人だけではない 「 」は一歩先にいなければならない 守る側
11. Takumi は世界中の OSS の脆弱性を発見してきた © 2025 GMO Flatt Security Inc. All Rights Reserved. 脆弱性を発見・報告 修正版をリリース アプデして本番反映 脆弱性を修正
12. いつでも使えます！ © 2025 GMO Flatt Security Inc. All Rights Reserved. 脆弱性を発見・報告 修正版をリリース アプデして本番反映 脆弱性を修正 OSS開発者・コントリビューター 対象者 Takumi byGMO の全機能を 所定の期間内利用可能 支援内容 所定のクレジット枠内で クレジットは支援期間内は毎月充填 無料 費用
13. 偽陽性を弾く Non-LLM Validation 人間のレビューをボトルネックにしないために © 2025 GMO Flatt Security Inc. All Rights Reserved. 脆弱性を発見・報告 修正版をリリース アプデして本番反映 脆弱性を修正 問題 /redirect?url=<URL> の <URL> 部分に任意の URL を入力すると Open Redirect 脆弱性は発生？
14. 脆弱性の修正 PR を自動作成 鋭意研究開発中！ Stay tuned! © 2025 GMO Flatt Security Inc. All Rights Reserved. 脆弱性を発見・報告 修正版をリリース アプデして本番反映 脆弱性を修正
15. Dependabot PR のトリアージ 要対応の場合 緊急性のない場合 うちはミドルウェア 使ってなかったので 大丈夫 © 2025 GMO Flatt Security Inc. All Rights Reserved. 脆弱性を発見・報告 修正版をリリース アプデして本番反映 脆弱性を修正 「脆弱性のあるライブラリが 」に踏み込んで対応緊急性を判断 悪用可能な重大脆弱性の見逃しを防ぐ 自社コードベースで
 どう使われているか 脆弱性のある FileUploadInterceptor を使用→悪用可能
16. 攻撃者もが AI で効率化している現代、 攻撃者に先んじて、
 脆弱性を発見・修正する必要がある © 2025 GMO Flatt Security Inc. All Rights Reserved. まとめ そのための技術を開発し 育てていく必要がある
17. エンジニアの背中を預かる より多くのエンジニアがものづくりに集中できる社会を、セキュリティ面からつくる会社