オープンソースプロジェクトのボランティア保守者の元には、いまやAIツールを使って作成されたセキュリティ脆弱性報告が絶え間なく届くようになっています。その多くは、言語モデルが作成に関与したことを一切明記していません。この件数の増加を受け、GNOMEは各プロジェクトにおける脆弱性の追跡・開示ルールを見直すことになりました。
今回の変更を主導したのは、2020年11月からRed Hatの支援を受けてGNOMEのセキュリティ課題追跡を担ってきたMichael Catanzaro氏です。新方針の下では、GNOMEはあらゆる脆弱性報告に対して単一のルールを適用し、AI支援によるものと人間が書いたものを同じように扱います。
「報告者がAIを使用したことを明かすケースはほとんどありません。課題報告がAI生成かどうかを推測しなくて済むのは助かります。たいていは一目瞭然ですが、必ずしもそうとは限りません。それに、AIによって発見されたものではない脆弱性報告は、今やますます珍しくなっています。AIを使わない報告は今や多少なりとも異例な部類であり、それを基準に最適化する意味はもはやありません」とCatanzaro氏は説明しています。
開示までの猶予期間を短縮
GNOMEは長年、業界で一般的な期間に合わせ、開示までの90日間、脆弱性報告を非公開扱いとしてきました。しかし、この期間はGNOMEの作業フローにあまり合っていませんでした。保守者は正当な報告を受け取ってから数週間以内に解決に至るか、あるいは猶予期間が来るまで課題を未対応のまま保持し、期限到来とともに報告が公開される、という傾向があったのです。長い非公開期間は、大したメリットもないまま遅延を生んでいました。Catanzaro氏は、課題が修正された時点か猶予期間が過ぎた時点のいずれか早い方で、報告を開示しCVEを申請することにしています。
「2026年8月1日以降に報告される課題については、開示までの猶予期間を30日間に切り替えます。これは妥当な折衷案だと思います。AI生成による報告の増加とは関係なく、この短縮された猶予期間はおそらくGNOMEにとってより適したものになるでしょう」とCatanzaro氏は述べています。
他のプロジェクトはさらに踏み込んだ対応を取っています。Linuxカーネルは、AI生成と見られる報告については即時開示を採用しました。AIが見つけられる脆弱性であれば、攻撃者もすでに把握している可能性が高い、という理由からです。Catanzaro氏は、この方式は保守者にとって厳しすぎると考えています。修正を急がされるプレッシャーを感じかねないためです。即時開示はGNOMEにはあまり適さないだろうとしています。
AI生成の報告を禁止するプロジェクトも
GNOME傘下の一部プロジェクトでは、AI生成コンテンツを含む課題報告を禁止しています。こうしたプロジェクトについて、Catanzaro氏はセキュリティ報告を各プロジェクトの課題トラッカーへ転送するのをやめる方針です。というのも、今やほとんどの脆弱性報告にはAI生成の内容が含まれており、そうした方針にそぐわなくなってしまうためです。同氏はGNOMEセキュリティトラッカー上で報告をクローズし、該当プロジェクトの保守者に報告が存在することだけを通知します。自分たちのトラッカーへの投稿を今後も受け付けたい保守者に対しては、自プロジェクトのAI方針の中で脆弱性報告向けの例外を設けるよう求めています。
この運用には権限面の課題も伴います。GNOMEの保守者はセキュリティトラッカー上の非公開課題にアクセスできず、GitLabには非公開報告に特定の開発者をCCする手段が用意されていません。Catanzaro氏は、すべてのGNOME開発者がセキュリティトラッカーを閲覧できるよう権限を拡大する案を提起しています。
近く予定される引き継ぎ
Catanzaro氏はこの役職から退く計画を明らかにしています。同氏はセキュリティ追跡業務について、報告の記録、クローズ処理、期限到来時の開示、CVE申請といった「大部分は事務的な作業」だと表現しています。この業務は5年以上にわたり同氏の負担となってきました。同氏は2026年11月1日をもって新規報告の追跡を停止し、その1ヶ月間はそれ以前に提出された報告の処理に充て、残っていたすべての猶予期間が経過する2026年12月1日までに完了させる予定です。
現時点で、GNOMEのセキュリティ課題を追跡する担当者は他にいません。Catanzaro氏は、引き受ける意思のある経験豊富なコミュニティメンバーがいれば指導する用意があるとしつつ、この役割はすでにプロジェクトに精通した人物に向いているとの条件を付けています。同氏はまた、ツール自体を刷新できる余地もあると見ています。現行の仕組みはウィキページ上で運用されており、常に手作業での更新が必要な上、報告がクローズされると同期がずれてしまうこともあります。各課題の最新状態を反映するWebアプリがあれば、これに置き換えられるはずです。
翻訳元: https://www.helpnetsecurity.com/2026/07/21/gnome-security-disclosure-update/
