Presentation Information
[A-7-04]大規模言語モデルを用いた脆弱性緩和策策定支援に関する検討
〇Shokei Kawakami1, Hiroki Yamazaki1, Nobuyoshi Morita1, Shugo Mikami1 (1. Hitachi Ltd.)
Keywords:
Security,Vulnerability mitigation,Large language model,Generative AI
近年，産業機械や医療機器等の OT 製品においてもOSS (Open Source Software) の利用が拡大している．開発コスト低減や開発迅速化等の利点がある一方で，製品ソフトウェアに OSS 由来の脆弱性が紛れ込むケースがある．こうした背景から，製品製造者は製品のSBOM (Software Bill of Materials) を作成し，CVE (Common Vulnerabilities and Exposures)に代表される公開脆弱性と突き合わせることで，製品の脆弱性を検知し，影響を抑えるための緩和策を講じる必要がある．しかし，脆弱性の緩和策は必ずしも明確ではないため，緩和策の決定を支援する仕組みが求められている．また，実務的な観点から，セキュリティリスクの低減が優先されるケースの他に，対処コストの低さが優先されるケースや，製品本来の機能維持が優先されるケースもあるため，組織の方針や製品の特性に応じた緩和策の提示が必要である．そこで，本研究では，優先される観点に合わせて脆弱性の推奨緩和策を提示する手法を提案する．脆弱性の説明は自然言語で記述されるため，大規模言語モデル (Large Language Model: LLM)を用いる．実際の CVE に対して推奨緩和策を生成し，提案手法の有効性を評価する．