GoogleがAIを活用した脆弱性自動発見フレームワーク「Mantis」を公開：大規模コードの解析効率を大幅に改善
Googleは2026年9月2日、AIを用いてソフトウェアの脆弱性（ぜいじゃくせい）の発見、再現、そして修正までを一気通貫で自動化するオープンソースフレームワーク「Mantis」の詳細を公開しました。本フレームワークは、AIモデルが単にプログラムを書く能力だけでなく、ソースコードから脆弱性を見つけ出し、悪用可能性を検証する能力も高めている現状を踏まえ、防御側（セキュリティ担当者）がAIを最大限に活用できるように開発されました。
従来のAIコードスキャンでは、「ハルシネーション」（存在しない脆弱性を報告すること）が発生したり、検出結果の「真陽性率」が7％未満に留まるなど、精度の課題がありました。また、大量の候補が出た場合、人間による確認作業が新たな負担となっていました。Mantisは、この課題を解決するため、複数のAIエージェントによる検証プロセスを採用しています。候補を発見した後、レビュー役や批判的検証エージェントが問題の成立条件を確認し、さらに隔離されたサンドボックス環境で脆弱性を再現することで、誤検出を大幅に減らします。
さらに、Mantisは単なるコード解析に留まりません。解析開始前にリポジトリの変更履歴を調べ、過去の修正情報やセキュリティ上の問題から情報を収集します。また、開発者が用意していない場合でも、ソースコードを解析して「脅威モデル」などの背景情報を自動構築します。特に大規模なソフトウェア解析において、大量のソースコードを一度に読み込むと処理負担が大きくなる問題に対し、Mantisは各ファイルの情報をディレクトリ単位でまとめ、全体像を要約から積み上げる「階層型セキュリティ要約」という革新的な手法を採用しました。これにより、重要な構造情報を維持しつつ、トークンのオーバーヘッドを85％以上削減することに成功しました。
本フレームワークはGemini CLIやAntigravity CLIなどで利用可能であり、開発者に対し、AIの出力を鵜呑みにせず、専門家による手動確認と、本番環境から隔離された安全なサンドボックスでの実行を強く推奨しています。
背景
近年、AIモデルの進化に伴い、ソフトウェア開発やセキュリティ分野でのAI活用が急速に進んでいます。しかし、AIが生成するコードや脆弱性報告には「ハルシネーション」や誤検出といった課題が伴います。Mantisは、これらのAIの限界点を認識し、防御側（セキュリティ）の視点から、AIの出力を検証・精査する仕組みを組み込むことで、実用的なセキュリティツールとして開発されました。
重要用語解説
- Mantis: Googleが開発したオープンソースのセキュリティフレームワーク。AIエージェントを活用し、ソフトウェアの脆弱性発見、再現、修正を自動化するシステムであり、防御側のAI活用を目的としています。
- ハルシネーション: AIモデルが、根拠のない、あるいは存在しない情報をあたかも真実であるかのように生成してしまう現象。セキュリティ解析においては、架空の脆弱性を報告することを指します。
- 真陽性率: 検出された問題のうち、実際に脆弱性であった割合を示す指標。この率が低い場合、セキュリティ担当者は大量の誤検出（偽陽性）を排除する作業に追われることになります。
今後の影響
Mantisの登場は、AIを活用したサイバーセキュリティの標準的なワークフローを再定義する可能性があります。これにより、開発者はより効率的に脆弱性対策を行うことができ、セキュリティ担当者の負担軽減に大きく貢献します。今後は、AIの出力を検証する専門家（ヒューマン・イン・ザ・ループ）の役割がさらに重要になると予想されます。