OWASP が立ち上げた OASIS：オープンソースの脆弱性を AI と専門家の知見で迅速に FIX

OWASP Launches OASIS to Use AI and AppSec Experts to Fix Open-Source Vulnerabilities

2026/09/01 gbhackers — OWASP が立ち上げた新たなコミュニティ・プロジェクト Open Automated Security Initiative for Software (OASIS) は、AI が生成したパッチを人間の専門家がアプリケーション・セキュリティの観点から検証することで、オープンソース・ソフトウェアの脆弱性修正を加速するものである。2026年8月26日に発表された OASIS の目的は、組織や研究者が脆弱性を発見する速度に対してメンテナが確実に修正する速度が追いついていないという、長年にわたるセキュリティ上のギャップを解消することにある。

このイニシアチブは、候補となるパッチをアップストリームへ提出する前の段階で、それらをレビューする世界各地のセキュリティ実務者によるコミュニティと、脆弱性の自動検出／パッチ生成ツールを組み合わせるものである。

OASIS がオープンソースの脆弱性修正を支援

このプロジェクトはベンダー・ニュートラルな取り組みであり、大量の脆弱性アラートや未検証の AI 生成コードではなく、信頼性がありレビュー済みの修正案をオープンソースのメンテナが受け取れるように設計されている。

Intigriti の Strategic Engagement and Community Architect である Chris Holt は、「オープンソースが、私たちの情報経済の大部分を支えている。OASIS により、アプリケーション・セキュリティとオープンソースのコミュニティが協力し、安全なオープンソース・ソフトウェアを提供できるようになる」と述べている。

OASIS は、脆弱性を検出から修正へと迅速に移行させるために、3段階のプロセスを採用している。

• 第1段階では、AI を活用した自動化システムによって、広く利用されているオープンソース・リポジトリをスキャンし、セキュリティ上の問題を特定したうえで、修正候補を生成する。このパイプラインは、単に脆弱性を指摘するだけではなく、発見した各脆弱性に対して修正案となるパッチを添付する。
  
• 第2段階では、アプリケーション・セキュリティの専門家、自動化エージェント、OASIS コミュニティのメンバーが、セキュリティ、正確性、安全性の観点から修正候補をレビューする。OWASP によると、この検証レイヤーにより、提案されたパッチが信頼できるかどうかを判断するまでの時間を、数日または数週間からわずか数分へ大幅に短縮できる。
  
• 第3段階では、検証済みの修正案がアップストリームのメンテナに共有され、メンテナ自身による機能テストやパフォーマンス・テストが行われる。メンテナには、コントリビューションの受け入れ、変更、拒否を決定する権限が残される。

このモデルは、AI が生成したコードを自動的に信頼できるものと見なすことを防ぐよう設計されている。OASIS は、機械が高速に生成した出力を、メンテナが適切に評価・統合できるパッチへとつなげる役割を人間による検証に持たせている。

このプロジェクトが立ち上げられた背景には、生成 AI を悪用する攻撃者が、ソフトウェアの脆弱性を以前より迅速に特定・悪用できるという懸念の高まりがある。OWASP はこの傾向を “Vibe Hacking” と表現しており、AI を悪用するワークフローによって、脆弱なコードパスの特定、エクスプロイトの開発時間、専門知識の必要性が低減していく状況を指している。

サイバーセキュリティ業界は、スキャン／バグバウンティ／Software Composition Analysis (SCA)／コードレビューなどを通じて、脆弱性の発見に多額の投資を行ってきたが、修正は依然として困難な課題である。多くのメンテナが直面するのは、限られた時間／断片化されたレポート／誤検知／提案された修正などによる、リグレッションの発生と互換性の毀損がもたらす不確実性である。こうしたノイズに対する品質フィルタとして、OASIS は機能するよう設計されている。

人間のレビュアーは、脆弱性が実際に存在するかを評価し、AI が生成したパッチによって問題が効果的に緩和されるかを判断するとともに、メンテナに実用的な出発点を提供できる。

OWASP によると、このイニシアチブには、すでに多様な業界から数百人のアプリケーション・セキュリティ専門家が参加しており、創設メンバーには AppSecAI／Intigriti／DryRun Security などが含まれる。こうした幅広い参加基盤を持つ OASIS について OWASP は、OpenAI の Patch the Planet／Linux Foundation の Akrites／Anthropic の Project Glasswing などの大規模セキュリティ・イニシアチブを補完するものと説明している。

これらの大規模なプログラムが、優先度の高いインフラと高度な研究活動を重視するのに対し、OASIS はオープンソース・ライブラリや企業が利用する依存関係といった、広範なエコシステムからの参加に重点を置いている。

このアプローチは、オープンソース・コンポーネントに依存しながら、アップストリームのメンテナンスに対する影響力が限られている企業にとって、特に重要になる可能性がある。アップストリームのプロジェクトに修正が受け入れられれば、数千のダウンストリーム・アプリケーションを同時に保護できるためである。

OASIS には、セキュリティ実務者／開発者／研究者／オープンソース・コントリビュータなどが参加でき、脆弱性の検証担当／リポジトリ・コミュニティの管理／メンテナとの連絡／自動化オペレーションといった役割を担う。

こうした幅広い参加者によるコミュニティのレビューと AI の速度を組み合わせることで、OWASP OASIS は、オープンソース・セキュリティを脆弱性の発見にとどまる状態から、大規模かつ効果的に修正する段階へ移行させることを目指している。

紹介された記事では、OWASP が展開する Open Automated Security Initiative for Software (OASIS) という枠組みを取り上げています。オープンソース開発における人力不足と攻撃者側の AI 活用に伴う脅威の急増という背景に対し、未修正の欠陥放置による広範なシステム被害が問題視されています。この状況への対応策として、自動スキャンによる欠陥抽出／AI パッチの自動生成／専門家コミュニティによる人間系の精度検証／アップストリームの維持管理者への高品質な修正案の共有といった、一連の連携プロセスが導入されました。エコシステム全体の安全性向上を図るため、エンジニア自身の積極的なプロジェクト参加や知見の共有が求められます。