AIとCI/CD時代における脆弱性管理の再考

要点

• AI駆動のコード生成とCI/CDパイプラインにより脆弱性修正が迅速かつ包括的になるが、バージョンベースのCVE追跡に挑戦している。
• CVSSの静的基本スコアは実行環境の制御を無視しており、トラステッド実行環境などの動的要因を考慮する必要がある。
• メモリ安全言語とAIによる書き換えで脆弱性は減少するが、ハードウェアの脆弱性（Spectre/Meltdownなど）や内部脅威は依然として存在する。
• 脆弱性管理プロセスは、急速な反復に対応できる静的環境から動的環境へと進化する必要がある。