AI Engineer World’s FairのSnyk Security Track

セキュリティトラックのイントロ — SnykのRandall Degges

AIを使ったソフトウェア開発は、まるでチートコードを使っているかのようです。開発中の機能をリリースすれば、実際のユーザーに喜んでもらえる。ところが、World's Fair初のセキュリティトラックの幕開けをRandall Deggesが飾るのには理由があります。これを大規模に実現するには、まだ3つの課題があるのです。AIは人間と同じように脆弱なコードを書きます。本番環境の自律型エージェントは、目を離した隙に制御不能になることがあります。そして、地政学的な事情により、最先端モデルへのアクセスが突然打ち切られることも増えています。すべては、まだ解決されていない一つの課題に行き着きます。AIを安心して活用し、デフォルトでセキュアな状態を実現することです。

Agentic Development Security — SnykのEzra Tanzer

Replitのあるエージェントがコード凍結を無視し、本番データベースを削除。さらに、その事実を隠すために記録を捏造し、復旧は不可能だと報告しました。復旧に関する判断は誤っていましたが、削除は実際に起きたことで、悪意があったわけではありません。助けようとしていたのです。ここに、エージェント型開発セキュリティの厄介な本質があります。リスクはエージェントが書くコードだけでなく、アクセスできる範囲や、何をするかという判断にもあります。Snykでこの分野のプロダクトを率いるEzra Tanzerは、3つの柱を掲げています。エージェントが生成するもの、利用するもの、そして実行することをセキュアにするのです。

AIの霧を抜けて：エージェント型セキュリティを支えるアーキテクチャ上の決断 — Snyk、Manoj Nair

まだ一般公開されていない最新のフロンティアモデルに、同じ脆弱性を5回見つけるよう依頼しても、検出できるのは実行の半分にすぎません。単純な決定論的チェッカーと比べても、見つけられた問題は最大75%、F1スコアは40%でした。この数字が、この講演の根幹を物語っています。生成器と検証器は、同じシステムであってはなりません。Manoj NairはSnykで約5,000社の企業（Fortune 500の半数を含む）のセキュリティを担うチームを率いています。彼が示したデータは、決して安心できるものではありません。4,800社の顧客全体で、セキュリティのバックログは前四半期比108%増加しました。エージェントがコードを書く速度を上げる一方で、脆弱性も誰も修正しきれないほどの速さで生み出しているためです。

エージェントセキュリティ：権限、来歴、エージェントのサプライチェーン — Steve Yegge、Gas Town

あるエンジニアが30年かけて作ったゲームに対し、Fableがセキュリティ強化を実施したところ、結果は問題なし。クラウドのセキュリティ強化も完了し、認証情報も適切に処理され、申し分ない仕上がりでした。ところが、同じコードをSnykでスキャンすると、エージェントが見落としていた脆弱性が241件も見つかりました。このギャップこそがSteve Yeggeの講演の核心です。本人いわく、本当のタイトルは「エージェントセキュリティ」ではなく、「怖がれ」だそうです。大手銀行のチーフセキュリティアーキテクトは、すでにその計算を彼に示していました。誰もがコードを10倍の速さでリリースし、セキュリティ上の欠陥率が変わらなければ、脆弱な領域も10倍に広がる。そして、モデルがコードを書くようになれば、その欠陥率は一定に保たれるどころか、さらに悪化します。

午後10時。あなたのエージェントがどこにいるか、把握していますか？ — Kim Maida、Keycard

夜勤中のインシデント対応エージェントがチケットを読む。請求データベースが壊れ、決済が失敗している。手順書に記載された修正方法は、データベースを削除してバックアップから復元するというもの。そこでエージェントは本番環境のPostgresデータベースを削除したものの、バックアップが実行されたか確認できず、朝まで対応を保留にする。これは実際の企業で起きたことです。エージェントが何でもできる長期間有効なAPIキーを1つ持ち、それを自由に使っていると起こり得ます。あなたが監視しているときも、眠っているときも同じです。

エージェントに本番コードへのアクセス権を与えた後、安心して眠れるか試してみた — Form3、Moritz Johner

依存関係をいくつか更新したPatchPilotのPRひとつで、7万行のコードが変更されました。そして、問題のすべてはその差分のどこかに潜んでいます。Form3のMoritz Johner氏のチームは、何千ものリポジトリにまたがる、なくなることのないバックログのCVEにパッチを適用するエージェントを構築し、本番環境で稼働させました。そこでインフォセックチームが投げかけたのは、プロジェクト全体の見方を変える問いでした。これは自動化なのか、それともいつ発生してもおかしくないサプライチェーンインシデントなのか？コーディングエージェントが役に立つために必要なリポジトリへのアクセス権、CIログ、認証情報、Dockerソケットを手にした瞬間、意図したかどうかにかかわらず、エージェントはサプライチェーンの一端を担う存在になります。

LLMを活用したソースコードのセキュリティ対策 — Anthropic、Eugene Yan

Mozillaは2025年初頭、Firefox全体で毎月約20件のセキュリティ修正をリリースしていました。4月にはその数が400件に達し、20倍に増加。その約3分の2は最先端モデルによるものだと同社は説明しています。Eugene Yanが語ったのは、まさにこの変化です。モデルが大規模に実際の脆弱性を発見し、修正するようになりました。Anthropicが1,000を超えるオープンソースリポジトリを独自にスキャンしたところ、候補となった23,000件のうち、重大または深刻な問題が6,200件見つかりました。そのうち1,600件をメンテナーに報告し、約100件が上流で修正されました。バグの発見は、もはや難題ではありません。ボトルネックは、検証、トリアージ、修正へと移っています。

LLMスタックは、マーケティングがうまくなっただけの2008年のデータベース — NVIDIA、Lovina Dmello

2023年、研究者たちは、何千ものRayクラスターがパブリックインターネット上で無防備な状態にあり、ダッシュボードやジョブAPIが誰でもアクセスできる状態になっていることを発見しました。認証はデフォルトで無効になっており、本番環境に移行する前に有効化した人がいなかったためです。リスクにさらされていたデータの価値は10億ドルを超えていました。ゼロデイ攻撃でも、ニューラルネットワークへの巧妙な攻撃でもありません。ただ、誰かが切り替え忘れた設定です。本番環境のMLセキュリティでは、これは例外ではなく、よくあることです。

AIのジュラシック・パーク時代 — dbt LabsのAaron Stanley

20年前、Aaron StanleyはSECの調査に向けた緊急の証拠収集に駆けつけましたが、フォレンジックソフトウェアのライセンスに必要なドングルを忘れたことに気づきました。取りに戻る代わりに制約を回避し、証拠のタイムスタンプが変わり始めるのを目の当たりにしました。誰がいつ何を知っていたかが問われる事案では、それは大惨事です。彼は叱責されましたが、解雇はされませんでした。今年2月、別の連邦捜査で同じ壁に直面したCISOの彼は、エージェントを使って、フォレンジックの観点から証拠能力を確保できる方法を構築する専門知識があったため、安全に対処できました。彼が伝えたいのは、今私たちが作っているエージェントは、かつての未熟な彼と同じであり、仕事をやり遂げる方法を見つけ出すということです。

プライバシーを守るインテリジェンス — Steve Korshakov、Bee（Amazonが買収）

発言をすべて記録するウェアラブルデバイスは、年間約1,000万トークンを収集し、わずか1週間でユーザーのことをほぼすべて把握します。それがBeeです。Steve Korshakovは、このデバイスを市場で最も機微な情報を収集するデバイスと言っても過言ではないと語ります。だからこそ、彼の講演のテーマはただ一つ、Amazonでさえユーザーのデータを読み取れないという保証です。Beeを8か月前に買収したAmazonの社内に入ったことで、課題は簡単になるどころか、さらに難しくなりました。一般的なAWSの顧客は、Amazonが自分たちのデータを見られることを前提に信頼しています。Beeは、その点にも対処する必要があったのです。