AIアプリケーションの静的解析：テイントトラッキングからエクスプロイト生成まで
DAY 1
16:00-
16:40
AITraceは、ファイル境界を越えるAIフレームワークのコールチェーンを通じてユーザー制御データを追跡し、確認された攻撃パスから実際に動作するエクスプロイトペイロードを自動生成する、オープンソースの静的解析ツールである。 AITraceは、ファイル横断的なコールグラフ（呼び出しグラフ）を構築し、HTTP入力源（ソース）からLLMや実行処理（シンク）に向けて双方向の幅優先探索（BFS）を実行する。これにより、どのパスが実際に到達可能であるかを確認し、特定された脆弱性に対してコードベース固有のPoCペイロードを出力する。 AITraceは、以下の3つのレイヤーで機能する。 パターン解析：OWASP AIセキュリティフレームワークに対応する。 ファイル横断タイント追跡：双方向コールグラフ解析を用いて、ファイルをまたぐ攻撃パスを検出する。 LLM検証：AIを利用して悪用可能性を確認し、コードベース固有の修復策（レミディエーション）を生成する。 その結果、静的解析のみから、完全なAI部品構成表（AI Bill of Materials: AIBOM）、確認された攻撃パス、そして実際に動作するエクスプロイトペイロードが得られる。
-
Location :
-
Track 3(Room 3)
-
-
Category :
-
Bluebox
-
-
Share :
Speakers
-
Alisha Gupta
アリーシャ・グプタ
アリーシャ・グプタは、10年以上にわたり大規模なエンタープライズセキュリティの構築に携わってきたスタッフセキュリティエンジニアです。AIセキュリティ、クラウドセキュリティ、アプリケーションセキュリティ（AppSec）を専門とし、企業のセキュリティにおいて急速に拡大する盲点の一つである「シャドーAI」の最前線で活動しています。
これまでに、マルチクラウド環境における未承認のAIエージェントを検出するためのAI資産検出フレームワークの設計、CI/CDパイプラインへのAIBOM（AI部品表）の組み込み、安全なAI導入に向けたガバナンスモデルの策定などに取り組んできました。また、Terraformによるクラウド環境の自動化、IAMガバナンス、セキュアSDLC、大規模な脆弱性管理、ソフトウェアサプライチェーンセキュリティなど、幅広い領域でセキュリティシステムを設計してきました。その一貫した理念は、セキュリティがシステムの標準的な構成として組み込まれるようにすることです。
インドのNIT Kurukshetraでサイバーセキュリティの修士号（M.Tech）を取得し、IEEEではDDoS攻撃への防御に関する研究論文を発表しています。講演では、実装に関する深い知見と企業のセキュリティ現場で培った実践的な教訓をもとに、一般論ではない、実務者に役立つ具体的な知見を共有しています。