「幻のSQLite脆弱性」にCritical指定、実はLLMが生成した偽CVEだった
Critical CVE issued for hallucinated SQLite vulnerability
JFrogの調査により、新規GitHubリポジトリから公開されたSQLiteの脆弱性アドバイザリ群が、AI生成による偽物である可能性が高いことが判明。NVDやCISAがCriticalと評価したが、検証の結果、引用されたコードは存在せず、PoCも再現しない。SQLite公式のアドバイザリページにも掲載されておらず、GPTZeroによるAI生成検出でも高い確率でAI生成と判定された。この事件は、脆弱性情報の自動処理パイプラインにおける根本的な問題を浮き彫りにしている。
本日のシステムでは、どのステップも概念実証やバグの再現を実際に要求しないため、もっともらしい偽のアドバイザリがパイプラインをすり抜け、GHSAや下流のデータベース、エンタープライズスキャナーにまで到達し得るのです。