GitHubのAIセキュリティエージェントが本格的に脆弱性を掘り起こし始めた。9月28日、GitHub Security Labは公式ブログで、オープンソースのAIセキュリティエージェントを使ってAndroidアプリを監査した研究者が、24件の脆弱性を発見・報告したと発表した。すでに公開された2件の高深刻度事例も含まれている——1件は任意のアプリがユーザーの正確な位置を追跡できるもの、もう1件はWikipediaアプリのアカウントを直接乗っ取れるものだ。
このツールはseclab-taskflow-agentと呼ばれ、監査用タスクフローのseclab-taskflowsも完全オープンソースだ。発想は、コードベース全体を大規模モデルに投げて運任せにするのではなく、YAMLプロンプトで監査を段階的なステップに分解し、「どう監査するか」を再利用可能なタスクフローとしてパッケージ化することにある。Android向けには2つの専用タスクフローが追加された。gather_mobile_entry_point_infoは攻撃者が制御可能なデータが流入しうるコードの入口点を洗い出し、モバイルと非モバイルの攻撃面を分離する。classify_application_localは入口点の種類ごとに確認すべき代表的な脆弱性クラスを列挙する——たとえばintentベースの入口点を見つけたら、confused deputy（混同代理人）や安全でないブロードキャストといったモバイル特有の問題をチェックするようモデルに促す。
実行もシンプルだ。seclab-taskflowsリポジトリでCodespaceを開き、対象リポジトリに対して./scripts/audit/run_mobile.shを実行するだけ。中規模のリポジトリなら1〜2時間で結果が出て、SQLiteデータベースに書き込まれる。has_vulnerability列にチェックの入った行を見ればよい。ハードルは2つある。GitHub Copilotのライセンスが必要なこと、そして監査が大量のpremiumモデルリクエストを消費するため、トークン代が安くないことだ。
すでに公開された2件の高深刻度事例
1件目はOsmAnd——1000万超のダウンロードがあるオープンソースのナビアプリだ。そのMapActivityはexported（外部公開）されており、任意のアプリからintentを送れる。しかも設定インポート処理がsilent_importやreplaceといったintent extrasをそのまま信用してしまう。つまり、権限ゼロの悪性アプリがOsmAndの設定を密かに書き換え、地図タイルのURLを攻撃者のドメインにすり替えられる。ユーザーが地図タイルを読み込むたび、その正確な座標が攻撃者のサーバーに送られる——実質的なリアルタイム位置漏洩だ。同じ脆弱性で、ユーザーの全ルートの出発地と目的地も取得でき、ユーザーは何も気づかない。
2件目はWikipediaのAndroidアプリで、2つのロジックバグを連鎖させてアカウント乗っ取りに至る。アプリはwikipedia://のdeeplinkを登録しているが、ホスト名パーサーがドメインのサフィックスしか検査しないため、evil-wikipedia.orgのようなドメインも検証を通過し、ユーザーを攻撃者のページに誘導できる。さらにcookieマネージャーのドメイン検査もサフィックス比較しか行わないため、攻撃者のページがWikipediaの長期セッションcookieを取得できる——1つのcookieがすべてのWikimediaプロジェクトで通用し、ユーザー名と長期トークンがまとめて漏洩する。
LLMは脆弱性を見つけられるが、深刻度は見積もれない
ブログはこの手法の弱点も率直に認めている。LLMは脆弱性の発見には長けており、人間が見落としがちなロジックバグまで掘り起こすが、深刻度の見積もりは苦手だ。影響の小さい低リスクの問題を頻繁に報告し、外部ストレージに限定されたパストラバーサルのような「緩和要因あり」のケースも誤判定しがちだ。すべての検出結果はモバイルセキュリティを理解した研究者のレビューが依然として必要で、深刻なケースではモデルに実際にPoCを構築させて悪用可能性を確認しなければならない。
ここでの意義は「24」という数字ではなく、監査手法が初めてオープンソースで再現可能なパイプラインになったことにある。Security Labは以前、C/C++向けのAIファジングタスクフローをオープンソース化しており（リポジトリのアドレスを指定するだけで自動的に脆弱性を発掘）、今回はモバイルの空白を埋めた。一般の開発者にとっての実用価値は明確だ。セキュリティチームの順番待ちは不要で、自分のリポジトリに対して実行すれば、まず本物の問題を一掃できる。
