top of page
検索

AI支援による開発と自律型AI攻撃はどんなリスクがありますか？

  • 執筆者の写真: コンステラ
    コンステラ
  • 8月18日
  • 読了時間: 1分

A. Snowflakeの事例では、AIが開発と攻撃の両面に関わりました。


ほぼこもセキュリティニュース

GitHub Copilot Autofixが関与したコード変更では、従来の安全な処理が削除され、外部から任意のコマンドを実行できる脆弱性が生じました。GitHub側のAIコードレビューでも、この変更は見落とされてマージされています。さらに、外部ユーザーを制限するための条件も仕様上うまく機能せず、未認証ユーザーがチェックを通過できる状態でした。


一方、Wizの自律型AIツール「Red Agent」は、本番化から5日後にこの脆弱性を自動で発見しました。最初の攻撃試行でエラーが発生した際も、自らログを解析して攻撃方法を修正し、検証用資格情報の取得に成功しています。


その過程では、Snowflake内部のJiraポータルを閲覧できるトークンが流出しました。


Wizからの報告後、Snowflakeは同日中に修正とトークンのローテーションを行い、悪意ある第三者によるアクセスがなかったことも確認されています。

👉 詳細のブログはこちら

Snowflake事例に見るAIリスク：GitHub Copilot由来のCI/CD脆弱性とWiz Red Agentによる自律型攻撃実証 https://constella-sec.jp/blog/hobokomo-securitynews/tips-1263/

bottom of page