最近、Sangfor AIは、 AIセキュリティ能力を評価するための国際的に認められたベンチマークであるCyberGymで優れた結果を達成しました。Sangfor AIは、ARVOとOSS-Fuzzを含む非常に難易度の高い脆弱性チャレンジの全セットに挑戦し、1,507のタスクのうち1,301を正常に解決し、ベンチマーク全体の成功率86.3%を達成しました。この評価において、Sangfor AIはOpenAI、Anthropic、Metaなどの世界トップクラスのAIエージェントのモデルやエージェントと競い合い、最終的に世界トップ4にランクインしました。
AIセキュリティ評価のベンチマークとして、CyberGymは従来の静的または小規模な理論的テストを超え、複雑な現実世界の課題に焦点を当てています。幅広い主流のオープンソースソフトウェアプロジェクトや、非常に困難な過去の脆弱性（ARVOやOSS-Fuzzなど）を網羅し、大規模なコードベース、複雑なコンテキスト、多段階の敵対的環境における推論、脆弱性の再現、PoC検証において、大規模モデルとセキュリティエージェントの能力をテストします。現実世界の産業防衛シナリオとの緊密な連携と厳格な検証基準により、CyberGymはコードセキュリティモデルの現実世界での運用能力を評価するための、世界で最も権威ある実証実験場の一つとみなされています。
86.3%の背後にあるアーキテクチャ：エージェント群コラボレーション
脆弱性調査は、単なる一度限りのコード分析やPoC生成タスクではなく、不完全な情報の下で仮説を継続的に形成し、証拠を収集し、誤った経路を排除し、最終的な結論に到達する研究プロセスです。単一のモデルで局所的な推論は実行できますが、長鎖探索、並列仮説、厳密な検証を安定的に処理するには、これらの機能を整理、保持、制約できるシステムメカニズムが必要です。この課題に対し、 Sangfor AIは単純な確率的スタッキングに頼るのではなく、 「エージェント群」協調アーキテクチャを先駆的に開発し、厳密な「証拠ガバナンス」メカニズムを導入しました。これにより、脆弱性調査のすべてのステップが明確かつ信頼できるものになります。
- 探索：エージェントスウォームは、明確に区切られた独立した調査を、それぞれ異なるセキュリティ仮説に基づいて開始することで、探索範囲を拡大します。これにより、相互に汚染されることなく、補完的な説明を並行して検証することが可能になり、根拠のない仮説がいつの間にか共通の前提となってしまうことを防ぎます。
- 証拠：調査は、会話の履歴全体ではなく、証拠に基づいて調整されます。検証済みの観察結果と反証された経路の両方が利用可能であるため、証拠は調査の各段階にわたって保持され、誤った経路を再発見する必要がなくなります。
- 判定：コーディネーターは、この変化し続ける証拠の状態に基づいて、どの仮説が依然として有効か、どの疑問が未解決か、そして追加調査が正当化される箇所を判断します。このように、連続するラウンドは、証拠に基づいた探索空間の縮小となります。
- レビュー：具体的なトリガー戦略を裏付ける証拠が得られた場合にのみ、システムは候補となる入力を作成し、それを敵対的レビューに提出します。レビューでは、観測された障害の再現性と、割り当てられた脆弱性との関連性の両方が検証されます。却下された候補は調査の方向転換に利用でき、否定的な判断を次の探索ステップの制約として活用できます。この厳格なレビューを通過した候補のみが、システムの最終的なセキュリティ主張となります。
プロジェクトチームの技術設計で強調されているように、「仮説は探索範囲を広げ、証拠は主張を決定づける」。この仕組みにより、システムは複数の仮説を幅広く検証しつつ、結論を出す前に極めて厳格な証拠基準を維持することが可能になります。最終的に、このアプローチはARVOタスクで87.2%、OSS-Fuzzタスクで77.7%の成功率を達成し、ベンチマーク全体の成功率は86.3%となりました。
イノベーションを企業開発に統合する
AIの急速な進歩に伴い、攻撃者はこれらの技術を活用して脆弱性分析と悪用への障壁を大幅に下げ、バグ発見から大規模な悪用までの時間を短縮しています。企業にとって、攻撃者よりも先に脆弱性を特定、検証、修復することが不可欠です。そのため、ルールマッチングに依存する従来のSAST（静的アプリケーションセキュリティテスト）は、自律的な推論、コード理解、ビジネスロジック分析、脆弱性検証機能を備えたセキュリティエージェントへと急速に進化する必要があります。これらの新しいセキュリティエージェントは、SQLインジェクションやコマンド実行といった従来の脆弱性を正確に特定するだけでなく、複雑なビジネスワークフローを深く理解し、従来のツールでは対応が難しいアクセス制御の不備や認証バイパスといった高リスクの問題も明らかにする必要があります。一方、AI駆動型開発セキュリティシステムでブレークスルーを達成するために大規模モデルを活用することが、コードセキュリティにおける主導権を維持する鍵となります。
CyberGymのリーダーボードで上位にランクインすることは、単なる優れたベンチマーク以上の意味を持ちます。それは、現実世界のエンタープライズグレードのコードセキュリティシナリオにおけるAIセキュリティエージェントの実用的な能力を実証するものです。Sangfor AIは、製品ライン全体を強化し、エンタープライズ開発ライフサイクルに深く統合することで、ユーザーに革新的な価値を提供します。
- 脆弱性検出の強化：ビジネスロジックの欠陥、権限昇格、認証バイパスを包括的に特定することで、従来のSASTの限界を効果的に克服し、コードセキュリティのカバー範囲を大幅に拡大します。
- 手動監査コストの削減： AIを活用してコード理解、ファイル間相関分析、攻撃経路推論、リスク検証を自動化することで、セキュリティ専門家の手作業による作業負荷を大幅に削減します。
- 誤検出を最小限に抑え、効率性を向上させる：多段階の推論と厳格な証拠検証メカニズムを利用して誤検出率を下げ、開発者が真に修正が必要なリスクに集中し、効果のない修正を回避できるようにします。
- 開発デリバリーサイクルの短縮：セキュリティテストをコーディングフェーズとCI/CDパイプラインに前倒しすることで、「コードコミット時の自動監査」を実現し、後期段階での手戻りコストを削減し、ビジネス展開を加速します。
- 企業全体のセキュリティ体制の強化：企業が開発プロセスの早い段階でより強力なセキュリティ対策を確立できるよう支援し、データ漏洩や事業中断によって引き起こされるコンプライアンスリスクや財務リスクを軽減すると同時に、デジタルオペレーションを保護します。
企業ユーザーにとって、 AIセキュリティエージェントの核となる価値は、単に「より多くのバグを見つける」というレベルをはるかに超えています。それは、精度の向上、手作業の削減、そして迅速な対応能力を通じて、開発効率とコードセキュリティの両方を同時に飛躍的に向上させることにあります。
サイバージムの評価において、中国を代表するAIセキュリティソリューションの一つとして優れた実績を示したことは、Sangfor AIにとってインテリジェントコードセキュリティへの道のりにおける重要な節目となります。今後も、大規模モデルセキュリティ技術における革新を先導し、最先端の機能を企業ビジネスシナリオにおける実用的な生産性へと転換し、すべてのユーザーにとってデジタル変革をよりシンプルかつ安全なものにしていきます。
