Google、脆弱性スキャンAIフレームワーク「Mantis」を公開

Googleは、ソフトウェアの脆弱性を自動で発見・検証・再現・修正する一連の流れを担うAIエージェントフレームワーク「Mantis」をオープンソースとして公開した。セキュリティエンジニアが手作業で行ってきた脆弱性管理の工程を、AIが連続して担えるよう設計されている。

こうしたツールが開発された背景には、従来のAIを使ったコードスキャンが抱える根本的な課題がある。既存のAI搭載スキャナーは「誤検知（実際には問題がないのに脆弱性と判断すること）」や「ハルシネーション（AIが存在しない脆弱性を作り上げてしまうこと）」を高い頻度で起こすという問題が指摘されてきた。こうした誤報が積み重なると、セキュリティチームは本物の脅威への対処よりも「誤った警告の仕分け」に時間を奪われてしまう。

Googleは、このような誤検知・ハルシネーションの多さを解決するために、Mantisを開発したと説明している。Mantisはエージェント型のフレームワーク、つまり単に問題を指摘するだけでなく、検証・再現・修正という後続の工程までAIが自律的につなげて処理する仕組みを持つ。脆弱性のライフサイクル全体をカバーする点が、従来のスキャンツールとの大きな違いといえる。

今回オープンソースとして公開されたことで、外部の開発者やセキュリティ研究者がMantisのコードを参照し、自社のシステムに組み込んだり、機能を拡張したりすることが可能になる。オープンソース化は、ツールの普及を加速させるとともに、幅広いコミュニティからの改善や検証を受けやすくするという側面もある。

AIを活用したセキュリティ自動化は、ソフトウェアの規模が拡大し続ける現代において重要性を増している分野だ。コードの量が増えれば増えるほど人手による脆弱性管理は難しくなり、自動化への需要は高まる一方といえる。一方で、AIツール自体の精度や信頼性をどう担保するかが業界共通の課題として残っており、Mantisはその問いに対するGoogleなりの一つの回答と位置づけられる。

今後の注目点は、Mantisが実際の開発現場でどこまで誤検知を減らせるか、そして外部コミュニティがどのような形でこのフレームワークを発展させていくかという点にある。脆弱性管理のAI化が現実的な選択肢として定着するかどうかは、ツールの精度と実用性の積み重ねにかかっているという見方ができる。