Mozillaとの提携によるFirefoxのセキュリティ向上

**タイトル: Firefoxのセキュリティ向上に向けたMozillaとの連携** AIモデルは現在、複雑なソフトウェアにおける高深刻度の脆弱性を自律的に特定できるようになりました。当社が最近文書化したように、Claudeは十分にテストされたオープンソースソフトウェアにおいて、500以上のゼロデイ脆弱性（ソフトウェアの管理者に知られていないセキュリティ上の欠陥）を発見しました。 この投稿では、Claude Opus 4.6が2週間の間に22の脆弱性を発見した、Mozillaの研究者との共同作業の詳細を共有します。このうち、Mozillaは14件を高深刻度の脆弱性として分類しました。これは、2025年に修正されたすべての高深刻度Firefox脆弱性のほぼ5分の1に相当します。言い換えれば、AIによって深刻なセキュリティ脆弱性を極めて高速に検出することが可能になっているのです。 この連携の一環として、Mozillaは当社からの大量の報告を受け付け、どのような種類の発見がバグ報告の提出に値するかを理解する手助けをし、Firefox 148.0で数億人のユーザーに修正を提供しました。彼らのパートナーシップと、当社が学んだ技術的教訓は、AIを活用したセキュリティ研究者とメンテナーがこの状況に対応するために協力するためのモデルケースとなります。 **モデル評価からセキュリティパートナーシップへ** 2025年後半、当社はOpus 4.5がCyberGym（LLMが既知のセキュリティ脆弱性を再現できるかをテストするベンチマーク）のすべてのタスクをほぼ解決できることに気づきました。当社は、現代のウェブブラウザに存在するような、技術的に複雑な脆弱性がより多く含まれる、より難しく現実的な評価を構築したいと考えました。そこで、Claudeがそれらを再現できるか確認するため、過去のFirefox共通脆弱性識別子（CVE）のデータセットを構築しました。 当社がFirefoxを選んだ理由は、それが複雑なコードベースであると同時に、世界で最も十分にテストされ、安全なオープンソースプロジェクトの一つであるからです。これは、以前にモデルをテストするために使用したオープンソースソフトウェアと比べ、AIが新規のセキュリティ脆弱性を見つける能力に対する、より難しいテストとなります。数億人のユーザーが毎日それに依存しており、ブラウザの脆弱性は特に危険です。なぜなら、ユーザーは日常的に信頼できないコンテンツに遭遇し、ブラウザが自分たちを安全に保つことに依存しているからです。 最初のステップとして、Claudeを使用して、Firefoxコードベースの古いバージョンで過去に特定されたCVEを見つけました。Opus 4.6がこれらの過去のCVEの多くを再現できたことに驚きました。なぜなら、それぞれの発見には相当な人的努力が必要だったからです。しかし、これらの過去のCVEの少なくとも一部がClaudeの学習データに既に含まれている可能性があったため、この結果をどこまで信頼すべきかは不明でした。 そこで当社は、Claudeに現在のバージョンのFirefoxで新規の脆弱性（定義上、これまで報告されたことのないバグ）を見つけることを任せました。最初はFirefoxのJavaScriptエンジンに焦点を当て、その後ブラウザの他の領域に拡大しました。JavaScriptエンジンは都合の良い第一歩でした。それはFirefoxのコードベースの独立した部分であり、単独で分析することができ、その広い攻撃対象領域（ユーザーがウェブを閲覧する際に信頼できない外部コードを処理する）を考えると、特にその安全性が重要です。 わずか20分の探索後、Claude Opus 4.6はJavaScriptエンジンにUse After Free（攻撃者が任意の悪意のあるコンテンツでデータを上書きできる可能性があるメモリ脆弱性の一種）を特定したと報告しました。当社の研究者の一人が、最新のFirefoxリリースを搭載した独立した仮想マシンでこのバグを検証し、その後他の2人のAnthropic研究者に転送、彼らもバグを検証しました。それから当社は、Mozillaの課題管理システムであるBugzillaに、脆弱性の説明と根本原因のトリアージを助けるための提案パッチ（Claudeによって作成され、報告チームによって検証された）を添えてバグ報告を提出しました。 この最初の脆弱性を検証してFirefoxに提出するまでの間に、Claudeはすでにさらに50のユニークなクラッシュを引き起こす入力を発見していました。当社がこれらのクラッシュをトリアージしている間、Mozillaの研究者から連絡がありました。互いのプロセスについて技術的な議論を交わし、当社が手動で検証したさらにいくつかの脆弱性を共有した後、彼らは、すべてのクラッシュテストケースがセキュリティに影響を与えると確信していなくても、各々を検証せずにすべての発見を一括して提出するよう勧めました。この取り組みの終わりまでに、当社は約6,000のC++ファイルをスキャンし、前述の高深刻度および中深刻度の脆弱性を含む合計112件のユニークな報告を提出しました。ほとんどの問題はFirefox 148で修正され、残りは今後のリリースで修正される予定です。 外部ソフトウェアでこの種のバグハンティングを行う際、当社は常に、コードベースについて何か重要な点を見逃して発見が誤検知（偽陽性）になる可能性があることを意識しています。当社はバグを自ら検証するデューデリジェンスを行おうとしますが、常に誤りの余地はあります。Mozillaがトリアージプロセスについて非常に透明性を保ち、当社が彼らが関心を持つテストケースのみを提出できるようアプローチを調整する手助けをしてくれたことには、大変感謝しています（すべてがセキュリティに関連するわけではなかったとしても）。Mozillaの研究者はそれ以来、セキュリティ目的で内部でClaudeの実験を始めています。 **脆弱性の特定から原始的なエクスプロイトの作成へ** Claudeのサイバーセキュリティ能力の上限を測定するため、当社はClaudeが発見したバグのいずれかを悪用できるかどうかを判断する新しい評価も開発しました。言い換えれば、Claudeがこれらのバグを悪用して悪意のあるコードを実行するためにハッカーが使うようなツールも開発できるかどうかを理解したいと考えたのです。 このため、当社はClaudeにMozillaに提出した脆弱性へのアクセス権を与え、それぞれに焦点を当てたエクスプロイトの作成を依頼しました。脆弱性の悪用に成功したことを証明するため、Claudeに実際の攻撃を実演するよう求めました。具体的には、攻撃者が行うように、ターゲットシステムでローカルファイルを読み書きすることを要求しました。

Mozillaとの提携によるFirefoxのセキュリティ向上

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト