データベースに重大な穴6個、公式「AIの幻覚」
SQLiteに深刻度9.1〜10.0の脆弱性6件が登録されたが、指摘された関数も行番号も実在しなかった。SQLite公式は「再現できない。AIの幻覚と思われる」と書き、MITREは一括で無効にした。
ひかり：たいへんっ、たいへんっ! みんなのスマホにもブラウザにも入ってるデータベースに、危険度10点満点で10点の穴が見つかったんだってーっ! ……ねえ、これどうすればいいのっ!?
ことね：落ち着いて。……その穴、ひとつも存在しないの。
ひかり：えっ。……えっ、ないっ!? 10点満点なのにっ!?
ことね：順番に整理しましょう。SQLiteという、スマホにもブラウザにも飛行機の中にも入っている、世界でいちばん数が出ているデータベースがあるのね。そこに先月の終わりごろ、深刻度9.1から10.0の脆弱性が6件、公的な通し番号を振られて登録されたの。CVEといって、世界中の脆弱性に付ける背番号ね。……それをJFrogというセキュリティ会社が確かめにいったの。「この関数に穴がある」と書かれた関数が、そのバージョンのソースコードに無い。「json.cの3555行目から3575行目」と書いてあるのに、そのファイルは2706行しかない。攻撃を再現するための実証コードも付いていたけれど、走らせても何ひとつ落ちないの。……6件ぜんぶよ。
みずき：…中身は空っぽで、点数だけちゃんと付いてる。……で、それ誰得なの。無い穴を6個こしらえて、誰が得すんの。
ことね：そこ、SQLiteの公式ページが昔から名指しで書いているのよ。「グレーハットはCVEの数と深刻度で報われる。だから、影響がほとんど無い、あるいは全く無いのに、大げさな主張をするCVEが量産される」って。……で、今回の6件についても、公式の一覧にもう追記が入っているの。番号を並べたあとに一行だけ。「これらは再現できない。AIの幻覚と思われる」。JFrogが調べたら、同じアカウントがたった4日で55件出していて、そのうち54件が作り話だったそうよ。MITREは、その塊ごと無効にしたわ。
ひかり：えっ待ってことね先輩。じゃあ、誰も確かめないまま番号もらえちゃうのっ? そんなことあるっ?
ことね：あるの。今の仕組みのどこにも、「実証コードが実際に動くこと」を求める段階が無いのよ。セキュリティ研究者のアラン・クーパースミスさんが、こう言っているわ。「割り当て機関のほうも、報告を自分で検証できる立場にないことが多い」。以前は米国立標準技術研究所が後ろで一件ずつ精査していたけれど、そこが追いつかなくなってね。手つかずの積み残しが2024年の終わりに1万7000件、2025年の終わりには2万7000件を超えたと、監察の報告書に出ているの。
みずき：…このあいだ、AIがChromeの13年ものの穴を見つけた話をしてたよね。今度は、AIが無い穴を見つけてる。……どっちも「見つけた」で通っちゃうのが、いちばん気持ち悪い。
ひなた：ふぁ〜……こわいのは、うそを書いた人じゃなくて、だれもひとくち味見しなかったことなのです。……ごはん屋さんなら、出す前にいちばん最初にやるのです。
まとめ：穴の場所も、証拠のコードも無かった。残ったのは公式ページの一行だけ——「再現できない。AIの幻覚と思われる」。