技術要約：脆弱性評価におけるAIスロップ（AI Slop）とハルシネーション

1. 問題提起

大規模言語モデル（LLM）のサイバーセキュリティ脆弱性評価への統合は、「AIスロップ（AI Slop）」の蔓延に起因する「信頼性の危機」をもたらした。保守的なルールベースの静的アプリケーションセキュリティテスト（SAST）から生じる従来の偽陽性とは異なり、AIスロップは、高い言語的流暢性と構造的な妥当性を備えながらも、意味的な妥当性や実行可能な根拠を欠いたセキュリティ・アーティファクト（レポート、概念実証、パッチ）を指す。

これらのアーティファクトには以下が含まれる：

• ハルシネーションによる脆弱性： 架空の共通脆弱性識別子（CVE）、存在しないAPI、および断片的な実行パスの捏造。
• 不適切なパッチ合成： 根本原因を無視して表面的な症状に対処するもの、あるいは新たなデグレ（退行）を導入する修正。
• 意味的な再パッケージ化： 既存の知識や「サイレント（非公開）」の修正を、一見すると斬新で権威あるレポートへと変貌させること。

この現象は、人間のトリアージ・パイプラインに対して、サービス拒否（DoS）攻撃にも似た認知的な負荷を生じさせている。核心的な問題は、根本的な推論のギャップである。人間のセキュリティ専門家は、システムの制約に基づいた因果的かつ多段階の演繹的推論に依存するが、自己回帰型のLLMは、統計的な相関関係に基づく確率的なトークン生成によって動作する。情報がLLMの推論ホライゾンを超えると、モデルは検証された事実ではなく、統計的に妥当な継続を選択してしまう。

2. メソドロジー

本論文は、経験的な証拠を調査し、問題を定式化するために、系統的な文献レビューと概念分析を採用している。

• 文献検索： 著者らは、IEEE Xplore、ACM Digital Library、およびarXivを、LLMおよびセキュリティ関連のキーワードを用いて検索した。2名の独立した査読者が結果をスクリーニングし、セキュリティの文脈におけるLLMの失敗モードに関する経験的証拠を含む研究を抽出した。
• タクソノミー（分類学）の構築： 失敗は、推論失敗の性質に基づいて3つの主要な分岐に分類された。
• ギャップ分析： 本論文は、人間の認知モデル（演繹的、不変性を保持するもの）と、LLMのアーキテクチャ上の制約（確率的、コンテキストウィンドウ制限あり）を対比させている。
• 指標の提案： 著者らは、推論のギャップを測定可能なプロキシである**演繹的カバー率スコア（Deductive Coverage Score: DCS）**を通じて操作化し、新しい評価ツール（CVE-Bench、Slop-Score）を提案している。
• アーキテクチャのレビュー： 既存の緩和策（受動的検出、ウォーターマーキング）をレビューおよび批判した上で、能動的なニューロ・シンボリック検証アーキテクチャを提案している。

3. 主な貢献

A. AIスロップの定式化とタクソノミー

本論文は、サイバーセキュリティにおけるAIスロップを定義し、3つの明確な失敗モードからなるタクソノミーを確立している：

1. ハルシネーションによる脆弱性： モデルがプロンプトの期待を満たすために、欠陥（例：架空のCVE、存在しないAPI）を捏造すること。これには、サイコファンティック・ハルシネーション（追従的な幻覚）（安全なコードに対してバグを見つけること）や、トークン・バイアスによる混同（表面的な構文の変化に基づいて判断が変化すること）が含まれる。
2. 不適切なパッチ合成： モデルがコンパイル可能で表面的なチェックには合格するものの、根本的な問題を解決できなかったり、新たなセキュリティ・リグレッション（例：一つのCWEを別のCWEに置き換えること）を導入したりするパッチを生成すること。
3. 意味的な再パッケージ化： モデルが既存の情報（オープンソースのコミットに含まれるサイレントな修正を含む）を、「斬新な」レポートへと再構成すること。これは、非公開の修正に対する公開されたグラウンド・トゥルース（正解）の欠如を突き、ルックアップベースの検証では検知不能な再パッケージ化された主張を作り出す。

B. 推論ギャップの分析

本論文は、根本的な原因が人間の演繹的推論とLLMの確率的生成の間の乖離にあることを特定している：

• 人間の専門家： メンタルモデルを構築し、手続き的な境界を越えてデータフローを追跡し、制約を検証する。彼らは、証明されるまで発見事項に対して懐疑的に接する。
• LLM： 学習分布に基づき、トークンの確率を推定する。彼らは、単一の実行パスを検証することなく、馴染みのあるパターン（APIコール、変数名）を繋ぎ合わせる。
• 現在の緩和策の限界： 著者らは、Chain-of-Thought（CoT）プロンプティングやツール利用エージェントは、このギャップを狭めることはあっても、埋めることはできないと主張している。CoTはしばしば、より長く、かつ同様に誤った推論チェーンをもたらし、ツール利用は、エージェントがツールの出力を誤解するという「ツール使用の空想（confabulation）」を招くことが多い。

C. 受動的検出とウォーターマーキングへの批判

本論文は、プロベナンス（由来）（テキストが機械によって書かれたものかどうかを判断すること）を対象とした現在の緩和策は、正確性の必要性と乖離していると論じている。

• 統計的検出： セキュリティレポートは本質的に定型的（語彙の多様性が低い）であるため、人間が書いたレポートに対して高い偽陽性を引き起こす。
• ウォーターマーキング： セキュリティ・ロジックとは相容れない。制約のあるコード領域においてウォーターマーク付きのトークン選択を強制することは、多くの場合、ロジックを破壊するか、無効なペイロードを作成する。

D. 提案される解決策と評価指標

• ニューロ・シンボリック検証： 著者らは、LLMを仮説生成器として機能させ、その出力を（人間のアナリストに届く前に）決定論的な検証（静的解析、ダイナミック・ファジング、シンボリック実行）に供するというアーキテクチャを提唱している。
• 演繹的カバー率スコア（DCS）： 脆弱性の主張が、統計的な補間ではなく、明示的で検証可能な証拠（例：特定のコード参照、実行トレース）にどの程度基づいているかを定量化する指標。
• CVE-Bench： 実行によって検証されたグラウンド・トゥルースを用いて、接地されたレポートと、流暢だが実体のないエクスプロイト・パスを分離する能力をテストするために設計されたベンチマーク。
• Slop-Score： 言語的な流暢さと検証可能な実体との間のギャップを定量化する連続的な指標であり、流暢であっても証拠密度や制約充足が欠けているアーティファクトにペナルティを与える。

4. 結果と知見

• 経験的証拠： サーベイによれば、一部のバグバウンティ・プログラム（例：2025年中盤のHackerOne）において、報告の約20%が低品質なAIスロップであると特定されており、これが特定のプログラム（例：2026年のcURLのバウンティ・プログラム）の中止につながっている。これは、有効なレポートとAI生成のノイズを区別できないことが原因である。
• グラウンディングの欠如： 代表的な研究のレビュー（表1）によれば、LLMの出力を実行レベルで検証している研究は存在しない。見出された最も強力なグラウンディングは、コンパイルチェックや静的解析であるが、これらは厳格なセキュリティ推論の要求水準を大きく下回っている。
• 部分的架け橋の失敗： ReActやRetrieられるRetrieval-Augmented Generation (RAG) といったツールは、事実的なハルシネーション（存在しないCVEの捏造など）を減少させるが、論理的なハルシネーション（正確な事実から因果的に誤った推論を導き出すこと）に対処することはできない。

5. 重要性と主張

本論文は、サーベイ、概念分析、およびロードマップとしての立場をとっている。その主な重要性は、評価のパラダイムを言語的流暢性から数学的検証可能性へとシフトさせた点にある。

• 構造的失敗： 著者らは、AIスロップは単なるパフォーマンスの問題ではなく、確率的生成が因果的検証に取って代わっているという構造的な失敗であると断言している。
• 信頼性： AI駆動のトリアージにおける信頼は、より優れたプロンプティングやプロベナンスの追跡だけでは達成できない。それは、各パイプラインのコンポーネントを、文書化された限界を持つ既存のシステム（例：シンボリック実行のパス爆発の限界）にマッピングする、能動的なニューロ・シンボリック検証を必要とする。
• 将来の方向性： 本論文は、信頼できるサイバーセキュリティAIは、生成を検証パイプラインの出発点として扱い、生成物が決定論的なテストを通過した後にのみ人間の判断が行われることを保証するシステムから生まれると結論付けている。提案された指標（DCS、Slop-Score）およびベンチマーク（CVE-Bench）は、この構造的な失敗をシステムから排除するために必要なインフラストラクチャを提供することを目的としている。