OWASPは、オープンソースコードの脆弱性発見と実用的な修正提供との間にあるギャップを埋めることを目的としたグローバルプログラム、Open Automated Security Initiative for Software(OASIS)を立ち上げました。
2026年8月26日にサンフランシスコで発表されたOASISは、AIが生成したパッチ候補と、アプリケーションセキュリティ専門家による検証を組み合わせた仕組みです。
この取り組みは、スキャナーのアラートやCVE通知、機械生成コードの山を単に作り出すのではなく、メンテナーに信頼できる修復の出発点を提供することを目指しています。
OASISは、自動化がセキュリティ作業を加速させる可能性を認めつつも、提案されたパッチが正しく、安全で、保守可能であり、対象プロジェクトに適したものかどうかは専門家によるレビューで判断すべきだという立場を取っています。
Black Duckの「2026 Open Source Security and Risk Analysis Report」によると、商用コードベースの約98%にオープンソースコンポーネントが含まれています。
しかし現実には、スキャンツールが欠陥を発見するスピードに、小規模なプロジェクトチームが再現・優先順位付け・パッチ作成・テスト・リリースを行うスピードが追いつかないという事態が日常的に起きています。
OASISは、この修復のボトルネックを3段階のプロセスで解消します。まず、自動化ツールが広く利用されているリポジトリをスキャンし、脆弱性が発見されると修正候補となるコード変更を生成します。
このシステムは迅速に修正案を提示することを目指しており、レビュー担当者はゼロから修復作業を始めるのではなく、検証・文脈把握・リスク評価に集中できるようになります。
次に、AIエージェントの支援を受けたアプリケーションセキュリティ実務者のコミュニティが、すべての候補について正確性とセキュリティ上の影響を審査します。
検証者は脆弱なコードと修正後のコードを比較検証し、動作をテストし、修復の選択肢を洗い出した上で、リグレッションを引き起こしたりリスクを覆い隠したりする変更は却下できます。
このヒューマン・イン・ザ・ループ段階はOASISの中核をなすものです。なぜなら、構文的に妥当なAI生成パッチが必ずしも安全であるとは限らないからです。レビューを経て、検証済みのパッチは上流のプロジェクトメンテナーに提出されます。
メンテナーは採用およびリリースの決定権を持ち続けますが、自分たちの慣習・バージョン・制約・テスト要件に合わせて調整できる実装を受け取ることになります。このアプローチにより、修正サイクルを数分単位にまで短縮することを目指しています。
この取り組みは、攻撃者が偵察、解析、脆弱性発見、エクスプロイト開発に生成AIを活用している状況を背景に立ち上げられました。
OWASPの発表によると、「バイブハッキング」と呼ばれるAIを活用した攻撃活動は、脆弱性の発見からその悪用の試みまでの時間を短縮しかねません。防御側には検知だけでなく、より迅速で信頼性の高い修復も求められています。
DryRun SecurityのエグゼクティブオフィサーであるJames Wickett氏は、検証とコミュニティの専門知識が組み合わされることで、生成AIは防御側の対応を加速できると述べています。
IntigritiのStrategic Engagement and Community Architectを務めるChris Holt氏は、オープンソースの脆弱性は情報経済の多くを支えるエコシステムであるがゆえに、システミックなリスクとなっていると指摘しています。
OASISは、アプリケーションセキュリティ実務者とメンテナーが対応するための枠組みを提供します。OASISは、OpenAIの「Patch the Planet」、Linux Foundationの「Akrites」、Anthropicの「Project Glasswing」といった企業主導のプロジェクトを補完する位置づけです。
これらの取り組みは、オペレーティングシステムやブラウザといったインフラに専門知識を集中させています。これに対しOASISは、ボランティアによるアプリケーションセキュリティ実務者の参加を通じて規模を拡大し、組織が実際に利用しているロングテールのライブラリやアプリケーションにまで対応範囲を広げることを目指しています。
ACV AuctionsのDirector of Product Securityを務めるDavid Kosorok氏は、検証済みの上流修復は、1件の採用された修正が数千の下流ユーザーを保護しうるという点で、レバレッジの高い作業だと述べています。
初期の登録には、すでに数百人のセキュリティ専門家が集まっています。参加は、脆弱性検証者、リポジトリのコミュニティ管理者、メンテナーとの窓口役、自動化オペレーターに対して開かれています。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化
翻訳元: https://cyberpress.org/owasp-launches-oasis-to-fight-ai-powered-attacks/
