2026/05/28 2:42

自動化された脆弱性情報発見と再現のためのマルチエージェントLLM システム

RSS: https://news.ycombinator.com/rss

要約▶

Japanese Translation:

2025 年だけで約 5 万に達するソフトウェア脆弱性が報告されている中、現在のアートフィシャル・インテリジェンスモデルのみをセキュリティ flaw の検出に依存することは、高い偽陽性率、再現性の欠如、および複雑な依存関係についての推論の難しさという理由からリスクが高い。これらの課題に対処するため、研究者らは Google の OSS-Fuzz に基づき構築された、完全自動化された脆弱性情報分析のために設計された高度なマルチエージェントシステムである FuzzingBrain V2 を導入した。このアプローチは、すべての発見事項がファッザーで再現可能であることを保証し、「Suspicious Point」という新しい制御フロー抽象化を利用することで、最適な粒度での正確な位置特定を実現する。論理駆動の階層関数分析と高度な静的・動的ツールを組み合わせることで、システムは複雑な関数を跨ぐトリガーについて効果的に推論を行う。AIxCC 2025 データセット上のベンチマークにおいて、FuzzingBrain V2 は 40 つの脆弱性のうち 36 つを検出し、90% の検出率を達成した。実世界での展開では、該ツールは主要なオープンソースプロジェクト 12 件の間でゼロデイ脆弱性 29 つを成功裏に発見し、すべてがメンテナによって確認され、2 つの CVE ID が割り当てられた。Ze Sheng によって作成されたこの提出は、AI が人類開発者の負担を著しく軽減しつつ、重要なソフトウェアサプライチェーンを保護できることを示している。

Text to translate:

With nearly 50,000 software vulnerabilities reported in 2025 alone, relying solely on current Artificial Intelligence models to detect security flaws is risky due to high false positive rates, lack of reproducibility, and difficulty reasoning about complex dependencies. To address these challenges, researchers introduced FuzzingBrain V2, a sophisticated multi-agent system designed for fully automated vulnerability analysis built on Google's OSS-Fuzz. This approach ensures all findings are fuzzer-reproducible and utilizes a novel control-flow abstraction called "Suspicious Point" to achieve precise localization at optimal granularity. By combining logic-driven hierarchical function analysis with advanced static and dynamic tools, the system effectively reasons about complex cross-function triggers. In benchmarks on the AIxCC 2025 dataset, FuzzingBrain V2 achieved a 90% detection rate (36 of 40 vulnerabilities). In real-world deployment, the tool successfully discovered 29 zero-day vulnerabilities across twelve major open-source projects, all of which were confirmed by maintainers and resulted in two assigned CVE IDs. Authored by Ze Sheng, this submission demonstrates that AI can significantly reduce the burden on human developers while securing critical software supply chains.

本文

FuzzingBrain V2: LLM ベースの脆弱性発見における課題と解決策

背景と課題

ソフトウェアの脆弱性は深刻なセキュリティ脅威です。2025 年には約5 万件の CVE（Common Vulnerabilities and Exposures）が発見されています。大規模言語モデル（LLM）は自動検出において大きな可能性を秘していますが、以下の三つの主要な課題が残っていました。

誤陽性率の高さと検証不足
- LLM が生成する脆弱性情報報告には誤陽性率が非常に高いです。
- 再現性を確保した検証が十分に行われていませんでした。
粒度設定の最適化の問題
- 関数レベルでの解析：文脈が膨大化する際にバグを見逃す傾向がありました。
- クラス（行）レベルでの解析：不足する文脈によって限界が生じていました。
複雑な依存関係への対応困難
- 複数の関数間にある複雑な依存関係やトリガー条件を持つ脆弱性について、既存のアプローチは推論において困難を伴っていました。

解決策：FuzzingBrain V2

本稿では、上記のギャップを埋めるマルチエージェントシステム**「FuzzingBrain V2」**を紹介します。その効果は以下の四つの主要な貢献事項を通じて示されます。

完全自動化分析による再現性保証
- Google のOSS-Fuzzを基盤とした脆弱性情報の完全自動化分析を実施。
- 報告されたすべての脆弱性が**ファッザ（fuzzer）**を用いて再現可能であることを保証します。
新たな制御フローに基づく抽象化手法「Suspicious Point」
- 正確な粒度で脆弱性を特定するための新手法を提案。
- 文脈の最適化を実現します。
ロジック駆動型の階層的手法
- リソース制約下でも機能カバレッジを高めるために、二層構造のファッジングを組み合わせます。
- 階層的に機能解析を行うロジック駆動型の手法を導入。
コンテキストエンジニアリングと静的・動的分析ツールの統合
- MCP ベースのアプローチを実装し、静的および動的分析ツールを統合。
- コンテキストエンジニアリングを活用して複雑な脆弱性の推論能力を向上させます。

実績と成果

AIxCC 2025 ファイナルコンペティションでの結果

C/C++ データセットにおける検証結果は以下の通りです。

検出率：90%
- 対象となった脆弱性数：40 件中 36 件の発見に成功しました。

実際の運用環境での成果

オープンソースプロジェクトへの適用では以下の成果を挙げています。

ゼロデイ脆弱性の発見
- 12 プロジェクトに跨ってゼロデイ脆弱性 29 件を発見。
- すべてメンテナーによる確認および修復が完了済み。
CVE ID の付与状況
- 発見されたうち、そのうち2 件のみに対して CVE ID が付与されました。

提出履歴：Ze Sheng [バージョン 1] / 2026 年 5 月 20 日 22:17:14 UTC (ファイルサイズ: 1,827 KB)

同じ日のほかのニュース

一覧に戻る →

2026/05/28 5:00

YouTube が AI 生成動画を自動でラベル付け

## Japanese Translation: 2026 年 5 月現在、YouTube は視聴者に対する AI 生成コンテンツに関する即座の明確化を確保するため、AI デイスクロージャーシステムを大幅に見直しています。最も重要な更新は、フォトリアリスティックまたは意味のある変改が行われたメディアについては動画プレーヤーの直下にラベルを顕著に表示し、Shorts では説明にのみ埋め込むのではなく、オーバーレイでラベルを表示することです。非現実的、アニメーション、または軽微な変更が加えられたコンテンツについては、開示は引き続き拡張された説明に維持されます。この統合的なラベルリング基準は、2024 年以降増大するコミュニティの透明性への要請に応えるため、すべての此类の重大な AI 生成または変更されたメディアに適用されます。特に重要なのは、AI ツールの使用がクリエイター収益化能力やプラットフォーム上の推奨受容に影響を与えることのないことです。具体的には、開示ラベルは動画の推奨か収益化資格への影響を及ぼしません。本ポリシーは、Veo や Dream Screen といった YouTube 自前のツールで作成されたコンテンツと、C2PA メタデータでマークされたサードパーティ製素材を区別しており、これら両方とも恒久的な開示ラベルが付与されます。以前クリエイターは自主的な開示に依存していましたが、現在は重大な AI 機能の検出がある場合でも明示的なフラグがなくても自動的に行き来されることがデフォルトとなっています。今後、YouTube は内部シグナルを利用して AI マテリアルを自動的に特定し、純粋な自主的モデルから移行します。クリエイターは、作業が誤ってフラグされた場合に YouTube Studio 内でエラーを修正する権利を維持します。最終的に、この転換は業界全体の透明性を推進すると同時に、生成技術を利用する革新者に対する罰則を伴いません。

2026/05/28 1:39

Anthropic と OpenAI が商品と市場の適合性を発見したと思います

## Japanese Translation: AI 市場における主要な戦略転換として、Anthropic や OpenAI のような先導的なプロバイダーが、重いサブスクリプション割引から標準 API プライシングモデルへ移行しており、補助されたアクセス時代が終わりを告げました。この変化は、コーディングエージェントに対する製品市場適合の実現、ならびにそれらを維持するために現在必要な大規模なインフラコストによって駆動され、2025 年後半に正式化され、2026 年頭で完全に実現されました。Anthropic はエンタープライズプランを席数 20 ドルに加えての使用量モデルへ移行し、OpenAI も GPT-5.5 のリリース後、すべてのプランをトークン使用量との直接連携に合わせました。この財務的実態が鋭い企業の反応を引き起こしました：Uber は Claude Code そのものだけで年間 AI 予算を「上限」に達させ、Microsoft は内部的ツールの優先のために Anthropic ライセンスの取消を allegedly（とされ）行っています。一方、需要は依然として堅くあり、SpaceX は 2029 年までコンピューティング容量に対して月間 12.5 億ドルコミットしています。アナリストらは現在、Anthropic が 2026 年第 2 四半期に初めて利益のある四半期を迎え、API 収益が 109 億ドルに達すると予測しており、2025 年後半の楽観視から、エンタープライズグレード AI インフラを維持する高コストの実態へと根本的な調整を示しています。

2026/05/28 4:24

Apple と Google がプッシュ通知に注力する取り組みとは

## Japanese Translation: 主要なテクノロジー企業（具体的には Google、Yahoo、Microsoft、Apple）は、プッシュ通知を単なる配信チャネルから、プラットフォームがメッセージを受信する前に解析し、順位付けし、変更を加え、ユーザーに到達させるまで積極的に管理する環境へと本質的に変革させてきた。この変化により、「通知パイプ」は厳密に制御された空間へと転換しており、現在では Apple（APNs）と Google（FCM/Firebase）によって支配されており、送信側は厳しいフィルタリング、不透明な編集、そしてスロットリングや優先度低下による拒否の可能性に直面している。2009 年から 2017 年までは静脈的であったが、Android 8 の通知チャンネルと iOS のフォーカスモード導入を機にこの介入の時代が始まり、許可率を 85% から 67% に大幅に引き下げる影響をもたらした。現在では、Apple の 30 億パラメータ規模のモデルや Google の Gemini Nano といった固有モデルに基づき内容を再書き換えしたり、未発表のランキングロジックで順位付けを行ったりする独自メカニズムによって、従来のダウンストリーム指標がメッセージの抑制や改変を隠蔽するため信頼できなくなっている。その結果、開発者はクロスセルや教育コンテンツのためにプッシュ通知に依存し続けることができず、代わりにそのようなインタラクションをメトリクスが完全に可視化される自社所有の_Surface_（例：アプリ内インボックス）へと移行させる必要がある。このトレンドは、準拠しない送信者に対する「ゼロ・トレランス」ポリシーの拡大と、通知から直接自動タスクを発火させる AI エージェントの登場へと向かっており、メッセージを受動的なアラートではなく制御シグナルへと本質的に変えていく。