Andrew Ng氏は、自身が開発したオープンソースのデスクトップエージェント「OpenWorker」の新版を発表した。セキュリティ関連のワークフローを軸に、まとまった数の新機能が加わっている。同氏が挙げた理由はこうだ。初版を公開したところ、サイバーセキュリティの現場で特に使い勝手が良いと感じたユーザーが少なくなかった。攻撃側がすでにAIを使っている以上、防御側にも同等の武器が渡るべきだ、という考え方である。
OpenWorkerはチャット画面でやり取りする方式を採らない。ユーザーがタスクを渡すと、エージェント自身がそれを工程に分解し、複数ファイル、ターミナル、連携済みのアプリをまたいで作業を進め、最終的にそのまま使える成果物を返す。プロジェクトは7月にMITライセンスでオープンソース化され、現在はオープンベータの段階にあり、GitHub上のスター数はすでに1万6400を超えた。デスクトップ版はmacOS 12以降(Apple Siliconに対応、署名・公証済み)と、Windows 10/11のx64版に対応する。Windows版のコード署名については現在手続き中だという。
コードだけでなく依存関係もスキャンする
新版で最優先の専任ロールとして位置づけられたのが「セキュリティレビュー」だ。リポジトリのドキュメントによれば、その役割は2つある。決定論的なスキャナーとモデルによる推論を組み合わせ、コードベースとその依存関係の両方を洗い出し、実際のリスクを見つけ出すことだ。依存関係側が想定するのはサプライチェーン攻撃、つまりサードパーティ製パッケージに悪意あるコードが仕込まれるケースである。この種の事故はここ1年、オープンソースのエコシステムで少なからず起きており、依存関係ツリーを人手で一つずつ点検するのはもはや現実的ではない。
修正フェーズのルールはさらに厳格だ。ドキュメントには、エージェントが提示した修正案は再スキャンとdiffレビューを経なければ承認されないと明記されている。そして、修正案を出したエージェントが唯一の検証役になることは決してない。
この制約が狙うのは、AIが自分の宿題を自分で採点してしまう事態だ。同じモデルがパッチを書き、同じモデルがそのパッチを判定すれば、出力は一見完璧に見えても実態は自己承認にすぎない。見落としがあれば、その見落とし自体に対しても盲目なままだからだ。スキャナーのような決定論的なツールを回路に残しておくことは、モデルの判断に対して容赦のない照合を一枚かませることを意味する。
権限は4段階、自律性は積み上げて獲得する
すべてのツール呼び出しは4種類のリスクカテゴリーに分類される。読み取り(read)、ローカルへの書き込み(write_local)、コマンド実行(exec)、外部への呼び出し(external)だ。その上に5種類の権限モードが重なる。discussとplanは読み取り専用、interactiveが既定のモードで書き込み系の操作の前に必ず確認を挟む、autoは限定されたパス内であればすべて自動許可、customは信頼できる特定のツールに限って自動承認に設定できる。
ガバナンスのルールは3層構造として固定されている。
- 絶対的な境界線: 危険で不可逆な操作は、モードをどう切り替えても常に人間の判断に委ねられる。
- 段階的な自律性: すべての操作は既定で承認が必要であり、一度限りの承認は常設ルールへと格上げでき、さらにその上でようやく設定済みのホワイトリストに加わる。
- 監査ログ: すべてのツール呼び出しについて、自動承認か、ユーザー承認か、あるいは拒否かという承認の出どころが記録される。
もう一つ、「無人稼働時は自己承認しない」というルールもある。夜間に無人で稼働中、影響の大きい操作に行き当たった場合、応答のないプロンプトはレビュー待ちの受信箱に送られる。人がその場にいないからといって、権限が自動的に緩むことはない。
大手の武器をノートPCに持ち込む
この1年、AIが脆弱性を発見したというニュースはおおむね非公開モデルを抱える大手企業が独占してきた。20年以上前からの古いバグを掘り当てたケースや、1カ月で数万件の高リスク項目を洗い出したケースもあるが、いずれも各社最強のモデルをエンタープライズ向けの販売チャネル経由で使うもので、価格も導入のハードルもそれなりに高い。OpenWorkerが選んだのは別の道だ。ローカルで動く、オープンソースである、MITライセンスである、コードを監査できる、という条件を満たしている。
セキュリティチームにとっては、そのソフトウェア自体を監査できるという事実が、スキャン性能そのものと同じくらいの重みを持つ。コードベース全体を読み、コマンドを実行し、外部にリクエストを送れるエージェントは、それ自体が理想的な情報流出経路になり得る。それがブラックボックスであれば、見つけ出す脆弱性が多いほど、そのエージェントを導入すること自体のリスクは評価しづらくなる。ここでのオープンソース化は、姿勢を示すためというより、導入の前提条件に近い。
現時点で公開情報から欠けているものも2つある。新版の具体的なバージョン番号はリポジトリに明記されておらず、スキャン性能が公開ベンチマークでどの程度の検出率を示すかについても、第三者による数字はまだない。CIパイプラインに組み込む前に、まずは隔離された環境で何度か試す方が安全だろう。
参考資料: OpenWorker公式リポジトリのドキュメント、CocoLoop、MarkTechPost、Help Net Security。権限の階層、3層構造のガバナンス、セキュリティレビューの役割については、リポジトリの説明と逐条照合した。