Googleが脆弱性の発見・再現・修正を自動化するオープンソースフレームワーク「Mantis」の詳細を公開、巨大リポジトリでもトークンのオーバーヘッドを85％超削減

親愛なる読者の皆さまへ。ご存じの通り価格高騰などの悪影響でサーバー運営がとても苦しい状態です。回線や台数を整理し見直せる部分は全て見直しましたが、やはりまだ危険水域です。このままだと1ページを10分割ぐらいして無理矢理PVを増やさざるを得なくなってしまいます。そこで、GIGAZINEの物理的なサーバーたちを、たった1円でも良いので親愛なる読者の皆さまに支援してもらえればとっても助かります！今すぐ寄付は上のボタンから！ ・ これまでGIGAZINEを支援してくれたメンバーのリスト

Googleは2026年9月2日、AIを使ってソフトウェアの脆弱(ぜいじゃく)性を発見し、候補の絞り込みから再現、修正まで進めるオープンソースフレームワーク「Mantis」の仕組みや利用方法を解説する記事を公開しました。 Getting started with the Mantis harness to find and fix bugs | Google Cloud Blog https://cloud.google.com/blog/products/identity-security/getting-started-with-the-mantis-harness-to-find-and-fix-bugs?hl=en

AIモデルはプログラムを書く能力だけでなく、ソースコードから脆弱性を見つけたり実際に悪用可能か調べたりする能力も高めています。Googleによると、AIモデルは人間による支援がほとんどない状態でも脆弱性を発見して悪用できる能力を示しているとのこと。Mantisは脆弱性を探す防御側でもAIを活用できるようにする取り組みとして開発されました。 ただし、AIにソースコードを読ませて問題点を列挙させるだけでは実際には存在しない脆弱性を報告する「ハルシネーション」が発生します。Googleは精度の低いAIコードスキャンでは、検出結果のうち実際に脆弱性だった割合を示す「真陽性率」が7％未満になる場合があると指摘しています。大量の候補が出力されても人間が一つずつ確認する必要があれば、セキュリティ担当者の負担が新たに増えてしまうというわけです。

Mantisは候補を発見した後に複数のAIエージェントを使って検証を重ねることで、誤検出を減らす仕組みを採用しています。脆弱性の候補を探した後、レビュー役や候補を批判的に検証するエージェントが問題の成立条件などを確認し、さらに隔離されたサンドボックス環境で脆弱性を再現。実際に問題を確認できれば修正コードの作成へ進みます。 また、Mantisは解析を始める前にリポジトリの変更履歴を調べ、過去に修正された脆弱性やセキュリティ上の問題から情報を収集します。加えてソースコードを解析してソフトウェアの構造を整理し、攻撃される可能性がある場所や守るべき対象をまとめた「脅威モデル」などの資料も自動的に構築します。開発者側で詳しい設計資料や脅威モデルを用意していないプロジェクトでも、脆弱性を探すための背景情報をMantis自身が組み立てられるとのこと。

大規模なソフトウェアでAIモデルにセキュリティ解析をさせる場合、AIモデルが大量のソースコードを一度に読み込もうとすると入力トークン数が増え、処理の負担が大きくなります。 Mantisは各ファイルの情報をディレクトリ単位でまとめ、さらにリポジトリ全体の要約へ積み上げる階層型のセキュリティ要約を作成する手法を採用。AIは全体像を要約から把握しつつ、必要な部分だけ詳しいコードを確認できます。Googleによると、重要な構造情報を維持しながらトークンのオーバーヘッドを85％超削減できたとのことです。 MantisはGemini CLIやAntigravity CLIなどで利用でき、GitHubから取得したMantisの場所と調査対象のコードをAIコーディングエージェントへ指定して解析を始められます。また、過去に見つかった脆弱性や修正方法を開発時の助言に生かす「mantis-advise」も用意されています。 一方でGoogleは、AIが生成した脆弱性報告や修正コードが常に正しいとは限らないとして、セキュリティ専門家が手作業で確認するよう求めています。またAIが生成したコードなどは、本番システムや内部ネットワークから隔離された環境で実行するべきとのこと。 なお、GoogleはAIを使った脆弱性発見を最大限活用するため、開発者が持つ知識など適切な情報をAIへ与えることと、脆弱性と判断する基準を明確にした安全なサンドボックス環境を構築することの2点を強く推奨しています。

・関連記事 OpenAI・Anthropic・GoogleなどがAIによるサイバー攻撃の防御に関する共同声明を発表 - GIGAZINE AIを使用した攻撃に対抗してGoogleが「AIで守る」新セキュリティエージェントを発表 - GIGAZINE Hugging Faceを攻撃してしまったOpenAIが「AIからの攻撃を防止する方法10選」を公開、CodexなどのAIツールの活用を呼びかけ - GIGAZINE 政府や企業に壊滅的なサイバー攻撃をもたらすAIモデルが「数カ月以内」に登場する恐れ、ファイブ・アイズが異例の共同警告 - GIGAZINE GoogleがAIを用いた自律型サイバー攻撃対策サービス「Google AI Threat Defense」を発表、脆弱性の修正＆監視まで自律的に実行 - GIGAZINE

You can read the machine translated English article Google has released details on 'Mantis,'… .