それが一つの結果かもしれない、特にこの分野に詳しい大手ベンダーにとってはね。俺が本当に興味があるのは、脆弱性研究者たちのフィールドがどうなるかだ。

その圧力は予測される脆弱性の爆発の結果としてしか起こらないし、その前には起こらないよ。それにはコストがかかるし、脆弱性の検索を行うためには専任でやる気のある人が必要だ。修正を適用して、次のデプロイの前に何も出てこないまで再チェックする必要がある。予測としては、数ヶ月以内にコーディングエージェントがエクスプロイト開発の実践と経済を劇的に変えるだろう。フロンティアモデルの改善はゆっくり進むものじゃなくて、ステップ関数になる。高影響の脆弱性研究が、エージェントをソースツリーに向けて「ゼロデイを見つけて」って打つだけで行われるだろう。

この非対称性はかなり重要な問題だと思う。特に、攻撃者は一つの成功パスが必要だけど、防御者はすべてのパスを閉じる必要がある。実際には、パッチの速度はリリースサイクルやQAの問題、回帰リスク、そして確認が必要なコードベースの数によって制限される。

バグトラッカーが常に空っぽな状態に入ったのはいつからだろう？バグ削減の制約要因は発見ではなく、修正だよ。開発者のスモークテストでも、バグが見つかるスピードは修正できるよりもずっと早いし、実際のQAはもっとそう。公平を期すために言うと、修正の制約要因は通常、再現可能なテストケースを見つけることなんだけど、脆弱性は必然的にそれを必要とする。でも、ほとんどのシステムには再現可能なテストケースがついているバグがたくさんあると思うし、それが修正リソースのボトルネックになっているんじゃないかな。もちろん、設計上不安定なシステムをセキュリティにすることは、これまで大失敗だったってこととは別の話だけど。

もしLLMが本当に俺のソフトウェアの脆弱性をたくさん見つけられるなら、なんでそれを使って脆弱性を修正して、完璧に安全なソフトウェアを作らないの？多分、それをするのは犯罪になるからだろうね。少なくとも、犯罪の脅威があるから。企業が自分たちのソフトウェアのセキュリティがどれだけ悪いかを社会が公然と議論するのは恥ずかしいことだから。俺たちは企業の便利さのために国家の安全を犠牲にしてる。システムのセキュリティをテストすることは許されていない、なぜならそれは企業の責任だから。システムを所有している企業は、そのシステムが不安定で国の個人データの半分が漏れたときでも、責任を問われない。これがどういうことか分かる？検証可能でテスト可能なセキュリティがトップへの道を邪魔することは許されない。常にシステムが安全であることを期待するのも無理だよ。みんなで協力して、データが月に二回漏れているのに、セキュリティの脆弱性を見つけて責任を持って報告することができると思うかもしれない。でも、システムは企業のもので、彼らが唯一の責任者なんだ。でも、（これが非常に重要なんだけど）彼らは責任を負わず、特に金銭的な責任もない。

攻撃者は一度成功すればいいけど、防御者はずっと成功し続けなきゃいけないってこと？

何かを壊すのは直すより簡単だよね。

見つけてからパッチを当てるのは、バグを新しく作るよりも早く修正できる場合にしか機能しない。一部の組織はこれができるけど、できないところもある。

あなたが出荷するパッチは、リリースや依存関係の動いているトレッドミルの上に乗ることになる。新しいコードが古いゴミにくっついて、古い仮定が次のバージョンに漏れ出す。攻撃者はあなたと同じモデルを実行できるから、バグを見つけて修正するギャップは縮まっていく。あなたのチームは機械に対して清掃作業をしているようなものだ。「完全に安全な」ソフトウェアは哲学のセミナーであって、結果ではない。バグのプールをかなり減らすことはできるけど、潮は引かず、砂のお城は崩れ続ける。

前に働いてた会社では、Linuxマシンで作業したいからって、中古のThinkPadを300ドルで買うのに反対されたことがあったんだよね。でも、脆弱性を見つけるために無限にお金を使うことには躊躇しないみたい。遅すぎるってなってからじゃないとね。