高価なAIほど脆弱性を見つけるとは限らない　モデルと実行環境の組み合わせを検証

何について

AIDBは、脆弱性1件を見つける費用が10倍以上でも、安価なモデルより発見率が低い例を紹介した。参照先のSemgrepは、4つのコードベースにあるアクセス権限の不備を比較。モデルの価格だけでなく、探索の指示やツールを含む実行環境が結果を左右するとしている。

なぜ注目

AIによるコード検査の選び方を、モデルの知名度や単価だけで判断しないための材料。Semgrepの結果は特定のアクセス制御の不備を対象にした比較で、あらゆる脆弱性や最新モデルの順位を示すものではない。