AIで"存在しない脆弱性"を量産？ 「SQLite」の偽CVEが判明 米企業が検証

セキュリティ企業JFrogが SQLite の脆弱性として登録されたCVE 55件を検証したところ、54件が実在しない捏造であることを確認した。存在しない関数の引用、実行しても再現しないコード、ベンダー公式に掲載なし——AI生成と思われる「もっともらしいが嘘」の情報が、NIST傘下のNVD（脆弱性データベース）に登録され、Red Hatからは最高評価を受けていた。背景を見ると、CVE登録時に本人確認や脆弱性の再現検証が必須ではなく、2024年以降 NIST は精査を事実上停止している。つまり「詐欺と本当を区別するコスト」をシステムが放棄した状態だ。

セキュリティの世界では「情報の信頼性」が全てである。それなのに生成AIが「嘘をつく能力」を習得した瞬間、この信頼インフラが崩壊した。大企業にとってこれは致命傷になる。セキュリティ部門は存在しない脆弱性の対応に人時を消費し、本当の脅威検知が遅れる。AIが嘘を大量生産できる時代、「元情報の再検証」を自動化しない企業は、セキュリティ部隊が疲弊する運命にある。

外部からの脆弱性情報（CVE、セキュリティ勧告）を受け取ったら、ベンダー公式発表やコミュニティでの検証を待ってから対応を始めること。「速度」より「精度」を優先しないと、ノイズ対応で本物の脅威を見落とす罠に陥る。