GitHubのセキュリティ研究チーム「GitHub Security Lab」は9月24日、C/C++で書かれたリポジトリを対象にした脆弱性探索(ファジング)の全工程をAIエージェントに任せられる「Taskflow Agent」関連ツールをオープンソースで公開したと発表した。対象リポジトリを指定するだけで、ファジングの起点となる箇所の特定からハーネス(検証用コード)の作成、キャンペーンの実行、クラッシュの分析、修正案の提示まで一通りを自動でこなす設計になっている。
仕組みとしては、業界で広く使われるファジングツール「AFL++」で実際にプログラムを実行し、「clang」と「lcov」でカバレッジ(コードの実行網羅率)を計測、その結果をLLMエージェントが読み取ってハーネスの改善やコーパス(テスト用入力データ)の育成を反復的に進める。見つかったクラッシュは重複を排除したうえで原因を分析し、修正案付きのレポートとして出力するほか、進行状況を確認できるダッシュボードも備える。LLMエージェントの既定モデルにはAnthropicの「Claude Sonnet 5」が使われている。
GitHubは本ツールについて、ホスト上でサンドボックス化されずに動作する設計のため、GitHub Codespacesのような使い捨て可能な環境での利用を推奨するとしている。オープンソース化により、開発者が自身のリポジトリに対してAI駆動のファジングを手軽に試せるようになる。
出典: The GitHub Blog
