Googleは、同社のBig Sleep AIエージェントが最近、重大なSQLiteの脆弱性を発見し、脅威アクターによる実際の悪用を阻止したと発表しました。
Big Sleepは、GoogleのDeepMindおよびProject Zeroチームによって開発されたAIエージェントで、ソフトウェア内の未知の脆弱性を積極的に探索するよう設計されています。
Googleは2024年11月、Big Sleepが初の実際の脆弱性、広く利用されているオープンソースデータベースエンジンSQLiteにおける悪用可能なバッファオーバーフローを発見したと発表しました。
当時、同社は研究者がファジングを用いて同じ脆弱性の発見を試みたものの、発見には至らなかったと述べています。
そのSQLiteの脆弱性については、まだリリースされていないバージョンで発見されたため、ユーザーが危険にさらされることはありませんでした。
しかし、火曜日に公開されたブログ記事で、GoogleはBig Sleepが最近、脅威アクターのみに知られており、悪用されるリスクがあった別のSQLiteの脆弱性を発見したと述べました。
この脆弱性はCVE-2025-6965として追跡されており、集約項目の数が利用可能なカラム数を超えることでメモリ破損が発生するという問題と説明されています。この脆弱性は、6月下旬にリリースされたバージョン3.50.2で修正されました。
他の詳細は明らかにされていませんが、メモリ破損の脆弱性は通常、任意のコード実行、権限昇格、データ漏洩、サービス拒否などにつながる可能性があります。
広告。スクロールして続きをお読みください。
「脅威インテリジェンスとBig Sleepを組み合わせることで、Googleは脆弱性がまもなく悪用されることを事前に予測し、事前にそれを阻止することができました」とGoogleは述べています。「AIエージェントが実際の環境で脆弱性の悪用を直接阻止したのは、これが初めてだと考えています。」
AIを活用したセキュリティソリューションの詳細はこちら
SecurityWeekはGoogleに追加の技術的詳細の共有を求めましたが、同社はこれを拒否しました。
Big Sleepに脅威インテリジェンスの専門家からどのような情報が与えられたのか、また同社がどのようにして脆弱性が悪用されるリスクがあると判断したのかは不明です。
潜在的に重大なSQLiteの脆弱性は時折明らかになりますが、これらの脆弱性が実際に悪用されたことを示す報告はないようです。
例えば、CISAの既知の悪用された脆弱性（KEV）カタログにはSQLiteの脆弱性は含まれていませんが、同機関のリストが完全でないことは知られています。
またGoogleは火曜日、Secure AI Frameworkのデータを、AIに関連するサイバーセキュリティリスクへの対応を目指すイニシアチブであるCoalition for Secure AI（CoSAI）に提供すると発表しました。同社によれば、これにより「CoSAIのエージェント型AI、サイバー防御、ソフトウェアサプライチェーンセキュリティのワークストリームを加速させる」ことができるとしています。
翻訳元: https://www.securityweek.com/google-says-ai-agent-thwarted-exploitation-of-critical-vulnerability/