「vibe coding」で増える脆弱なコード ^{CEFR B1}

研究チームはVibe Security Radarを使い、公開の脆弱性データベースを走査して各脆弱性の原因を特定し、バグが導入されたコードの箇所を追跡します。レーダーは共同著者タグやbotのメール、既知のツール署名などのメタデータをたどり、署名が見つかれば事例をフラグ化します。しかし、メタデータが削除されている場合は特定できません。

これまでにツール関連の事例を74件確認し、そのうち14件がCritical、25件がHighに分類されました。発見された脆弱性にはコマンドインジェクション、認証バイパス、サーバー側リクエストフォージェリなどが含まれます。Zhao氏は同じAIモデルが同じ間違いを繰り返す傾向を指摘しています。

チームは変数名や関数構成、エラー処理などの行動パターンに基づく検出へ移行中で、コードそのものからAI生成コードを識別するモデルを作っています。また、生成コードは必ず詳細にレビューし、入力処理や認証周りを特に確認するよう勧めています。