私たちはここにいます！ AIで開発された最初の既知のゼロデイがGoogleに捕まりました。

誰かがLLMを使ってオープンソースの管理ツールの欠陥を見つけました。次に、そのモデルに2FAを回避するPythonスクリプトを書かせました。そして、それを実際のターゲットに対して使い始めました。
どうやってそれがAIだったとわかるのか？どこにもきれいなドキュストリングがあります。モデルが文字通り幻覚を見たCVSSの重大度スコア。誰も深夜3時にバグを探しているときにこんなに整ったPythonを書きません。
そのバグ自体は論理的な欠陥で、開発者が何年も前にハードコーディングした信頼の前提でした。LLMsが得意とするタイプのミスです。
何年も前から「AIは攻撃者の助けになるのか？」という疑問がありました。多くの曖昧さがありました。「理論上は」「いずれは」「十分な足場があれば」。
その議論は終わりました。
今度の新しい質問は、「脆弱性があなたのスタックのどこかに存在する」状態と「脆弱性が大規模に悪用される」までの時間差がどれだけ速くなるかです。以前は数ヶ月でしたが、今は数日です。