AIで"存在しない脆弱性"を量産？ 「SQLite」の偽CVEが判明 米企業が検証

「SQLiteに緊急の脆弱（ぜいじゃく）性」は実在しなかった――米JFrogのセキュリティ研究チームは7月30日（現地時間）、データベース管理システム「SQLite」の深刻な脆弱性を主張する一連のCVE（共通脆弱性識別子）を検証した結果、いずれも存在しないことを確認したと公式ブログで指摘した。AI生成とみられる偽の脆弱性情報が、米国立標準技術研究所（NIST）の脆弱性データベース「NVD」などに大量登録されていたという。 発端は、あるユーザーがGitHubリポジトリで公開した55件の脆弱性情報だ。このうちSQLite関連の6件を、NVDは深刻度が最も高い「緊急（クリティカル）」などと評価し、その内の1件については米Red Hatが一時、最高値のCVSSスコア10.0を付けていた。 しかし、JFrogがこれらを検証すると、対象バージョンに存在しない関数や、ファイル末尾を超える行番号が引用され

[fukumimi777]

審査体制に問題があるにせよ、捏造によるDDoS攻撃が可能ってことか AIにはAIをぶつけるしかない

[simplememofast]

本質はAIの精度でなく、CVE登録に再現検証の関門が無い制度側の穴。生成コストがほぼ0になると、もっともらしさだけ通す審査は崩れる。生成と検証のコスト非対称が論点

[kamei_rio]

"発端は、あるユーザーがGitHubリポジトリで公開した55件の脆弱性情報" を監査したところ "54件が完全な捏造（ねつぞう）だったという" 捏造なんだ

[mfluder]

“AI生成とみられる偽の脆弱性情報が、米国立標準技術研究所（NIST）の脆弱性データベース「NVD」などに大量登録されていた”

[nguyen-oi]

ハルシネーションで存在しないコードの脆弱性作ってCVSS10付くの凄すぎる