AI生成のGitHub Copilot「Autofix」がSnowflakeのJira侵害を招いた

セキュリティ企業Wizが、GitHub CopilotのAI自動修正機能「Autofix」が生成したコード変更を起点として、SnowflakeのJira環境がCI/CDパイプラインを経由して侵害され得る状態だったとブログで報告した。

Autofixは、コードの脆弱性を自動的に検出し修正案を生成するGitHub Copilotの機能だが、今回のケースではその修正自体がセキュリティ上の弱点を持ち込む結果となった。

AIコード生成・自動修正ツールの利用が広がる中、AIが「安全にするための修正」がかえって新たな攻撃経路になり得ることを示す実例として、開発者コミュニティで注目されている。

Wizの報告では、侵害の具体的な悪用有無や影響範囲の全容については触れられておらず、CI/CDパイプラインの権限設計とAI生成コードのレビュー体制の見直しが課題として挙げられている。

• Wiz.io ↗