AI監査が本当の脆弱性を見つけたが、喜ぶのはまだ早い。再現と検証こそが難しいところであり、人間による最終審査という関門は省けない。

この記事は、AIエージェントがイーサリアムのコード監査を補助でき、libp2p Gossipsubの実際の脆弱性CVE-2026-34219を含む発見が既に行われていると総括している。中核的なボトルネックは、発見から検証へと移行している。AIはコードと仕様を組み合わせて脆弱性を検索し、再現を生成するのが得意だが、到達不可能なパスを到達可能と誤判定したり、深刻度を誇張したり、複数ステップでトリガーされる脆弱性の認識が不十分な場合がある。そのため、すべての候補脆弱性は実際のコード内で独立して再現可能であり、独立した検証と重複排除を経た後、最終的に人間が開示のタイミングを確認する必要がある。