Google Cloud傘下のMandiantは米国時間8月19日、AIエージェントによる脆弱（ぜいじゃく）性検出を支援するための「Agentic Vulnerability Discovery Harness」（AVDH）アーキテクチャーのブループリントを公開した。AIを悪用する攻撃者に防御側が先手を打つ手段になり得そうだ。
Mandiantは、プロアクティブなレビューや侵入テスト、レッドチーム、インシデント対応活動で、ソースコードの迅速な分析からエクスプロイトの経路を特定するためにAVDHを活用しているという。
脆弱性発見のための一連の手法（提供：Mandiant）
万一企業や組織などのソースコードが漏えいした場合、防御側は迅速な脆弱性の特定と修正に追われる一方、攻撃側はマシンスピードでAIツールを悪用して攻撃を仕掛ける恐れがある。このため同社は、分析のプロセスを体系化して厳密な検証手順を徹底し、ドメイン固有の専門知識をパイプラインに直接組み込むことで、効率性を高めているという。ここでは、AIモデルとセキュリティ専門家の主導のオーケストレーションレイヤーを組み合わせ、防御側が攻撃者より先に対応できるようにすることを目的にしている。
Mandiantによれば、最近発生した企業のリポジトリーが盗まれるインシデントの対応調査において、2日間で100件以上の重大な脆弱性を発見した。使用開始から10カ月が経過しており、数千万行規模のコードの環境の分析と数千のパイプラインの実行により、数万件の発見の結果を得たとする。広く普及しているウェブの拡張機能やオープンソースプロジェクトにおいては数十件の割り当て可能な欠陥が発見され、「Drupal」に存在する「重大」レベルのSQLインジェクションの脆弱性「CVE-2026-13242」や、PHPオブジェクトインジェクションの脆弱性「CVE-2026-55803」など12件に共通脆弱性識別子（CVE）が割り当てられたほか、さらに12件が現在公開されているという。
同社は、企業や組織のセキュリティ部門やオープンソースのメンテナーがソフトウェアサプライチェーンを予防的に保護できるようブループリントを役立ててほしいと述べている。