GitHubは、開発者がセキュリティ上の欠陥を修正するのを支援するために、AIを活用したAutofixツールを公開ベータ版として提供開始した。この機能は、GitHub CopilotとCodeQLによって支えられ、JavaScript、Typescript、Java、Pythonでの警告タイプの90%以上をカバーし、見つかった脆弱性の三分の二以上をほとんどまたは全く編集せずに修正するコード提案を提供する。この機能は、CodeQL、Copilot API、およびOpenAI GPT-4の組み合わせを利用してコード提案を生成する。将来的には、C#やGoなどのプログラミング言語に対するサポートも追加される予定である。

Code scanning autofixは、開発者がコードを記述する際に脆弱性を修正するための潜在的な修正案を生成し、サポートされている言語で問題が発見された際には自然言語での説明も提供する。これらの提案は、現在のファイルを超えて複数のファイルの変更や、問題を解決するために追加すべき依存関係を含むことがある。GitHubは、開発者が推奨事項を評価し、それが正しい解決策であるかどうかを判断し、意図した挙動から逸脱しないようにすることが重要であると強調している。

しかし、GitHubはautofixコード提案の現在の限界も強調しており、開発者が変更と依存関係を慎重にレビューすることが不可欠であるとしている。提案された修正が構文的に正しくないコード変更である場合、提案された場所が不正確である場合、プログラムの意味論を変更する構文的に有効な修正である場合、根本原因に対処しないか新たな脆弱性を導入する修正である場合、基本的な欠陥を部分的にしか解決しない修正である場合、サポートされていないまたは安全でない依存関係を提案する場合、潜在的なサプライチェーン攻撃につながる恣意的な依存関係を提案する場合がある。システムは広範なエコシステムで公開されている依存関係の不完全な知識を持っており、攻撃者が統計的にありそうな依存関係名の下に公開した悪意のあるソフトウェアへの新しい依存関係を追加する提案につながる可能性がある。

【ニュース解説】

GitHubが開発者のセキュリティ上の欠陥を修正する手助けとして、AIを駆使したAutofixツールを公開ベータ版で提供開始したことが発表されました。このツールは、GitHub CopilotとCodeQLに支えられ、JavaScript、Typescript、Java、Pythonでの警告タイプの90%以上をカバーし、見つかった脆弱性の三分の二以上をほとんどまたは全く編集せずに修正するコード提案を提供します。この機能は、CodeQL、Copilot API、およびOpenAI GPT-4の組み合わせを利用してコード提案を生成し、将来的にはC#やGoなどのプログラミング言語に対するサポートも追加される予定です。

このツールは、開発者がコードを記述する際に脆弱性を修正するための潜在的な修正案を生成し、問題が発見された際には自然言語での説明も提供します。これにより、開発者はセキュリティ上の問題をより迅速に、かつ効率的に解決することが可能になります。しかし、提案された修正が常に完璧であるわけではなく、構文的に正しくないコード変更や、プログラムの意味論を変更する修正、根本原因に対処しない修正など、様々な限界が存在します。また、悪意のあるソフトウェアへの新しい依存関係を追加する提案につながる可能性も指摘されています。

この技術の導入により、開発者はセキュリティ上の欠陥をより迅速に特定し、修正することができるようになります。これは、ソフトウェアの安全性を高める上で非常に重要です。しかし、提案された修正を盲目的に受け入れることなく、開発者がそれらを慎重にレビューし、自身のコードベースに適切かどうかを評価する必要があります。また、このツールは開発者の学習プロセスを支援し、セキュリティベストプラクティスについての理解を深める機会を提供することも期待されます。

一方で、この技術の導入は、セキュリティ上の脆弱性を悪用する潜在的な攻撃者に対する防御策を強化することにも繋がります。しかし、システムが完全ではないため、新たなセキュリティ上の問題を引き起こす可能性もあります。このため、開発者は提案された修正を慎重に検討し、その適用前に十分なテストを行うことが重要です。

長期的に見れば、このようなAI支援ツールの発展は、ソフトウェア開発のプロセスを大きく変革する可能性を秘めています。セキュリティ上の問題を迅速に特定し、修正する能力は、開発サイクルを加速させ、より安全なソフトウェア製品の提供を可能にします。しかし、この技術の進化と共に、新たな課題やリスクに対処するための継続的な努力が求められるでしょう。

from GitHub Launches AI-Powered Autofix Tool to Assist Devs in Patching Security Flaws.