サイモン・ウィルソン (Simon Willison) 氏は2026年8月28日(現地時間)、自身のウェブログで、バグのわずかな兆候からセキュリティ上のエクスプロイトが発見される速度が加速していると報じた。ケンブリッジ (Cambridge) 大学のアニル・マダヴァペディ (Anil Madhavapeddy) 教授は、OCamlプロジェクトにおいて、パッチ共有後わずか数分で悪用試行の証拠を確認したと報告。これは、自動化された監視システムが公開リポジトリを常時監視し、現代のコーディングエージェントが脆弱性発見に極めて効果的になっている現状を示唆している。
アニル・マダヴァペディ氏は自身のウェブサイトで、通常は数日を要する悪用試行や、一週間から二週間でのリリースが一般的である中、パーセントエンコードされたトラバーサルシーケンスのプローブを10分以内に観測したと述べている。この事態は、自動化された監視システムが公開リポジトリを常時監視していることを明確に示唆している。
さらにマダヴァペディ氏は、現代のコーディングエージェントがバグの発見において極めて高い効果を発揮するようになったため、新たなバグのわずかなヒントでさえ、エージェントがその脆弱性を発見するに足る情報となり得ると指摘。同氏は自身の開発したエージェントを用いてこれを実証し、Claude Fableがタスクを拒否した際にはDeepSeek V4 Proに切り替えて成功したとしている。この脆弱性発見の速度は、既存のオープンソースのセキュリティ問題に関する公開前制限（embargo practices）と両立しない可能性があり、コミュニティを安全に保つための新たなプロセスが必要であるとマダヴァペディ氏は提言している。
rcloneのメンテナーであるニック・クレイグ＝ウッド (Nick Craig-Wood) 氏は、Hacker Newsのコメント欄で自身のプロジェクトでも同様の問題が発生していることを認めた。同氏によると、rcloneプロジェクトの最初の10年間でGitHubを通じて受けたセキュリティ開示は約20件だったのに対し、直近1カ月間では40件以上に対処する必要があったという。これにはAIツールを利用してトリアージや修正案の作成を行っても、膨大な時間が費やされている。また、GitHubによるCVEの割り当ては、以前は2〜3日だったのが、現在では3〜4週間かかっており、やむを得ず変更ログに「CVE-PENDING」と記載してポイントリリースを行う状況にあるとクレイグ＝ウッド氏は説明している。
参考: Simon Willison’s Weblog (アーカイブ) — 2026年8月29日 07:12 (JST)
原文ハイライト"Just a rumour of a bug is enough to find a security exploit these days"