AIが作成した偽のセキュリティ警告？SQLiteを巡る「AIスロップ」論争

想像してみてください。セキュリティ担当者であるあなたのコンピュータに「使用中のシステムに非常に危険な穴が開いています。直ちにすべての作業を中断してパッチを適用してください！」という緊急警告が表示されました。あなたは急いで会議をキャンセルし、チームメンバーを呼び出して徹夜でその穴をふさぐパッチを開発しました。ところが、後になって知ってみると、その警告自体がAIが作り出した存在しない虚偽の危険性だったとしたらどうでしょうか。

最近、世界中の数多くのアプリや機器に使用されているデータベースエンジン「SQLite」を巡り、このような荒唐無稽な事態が実際に起こりました。これは単なるハプニングを超え、私たちがAIの情報をどれほど無批判に受け入れているかを浮き彫りにする痛烈な事例です。

なぜ重要なのか？

セキュリティ脆弱性は、まるで火種のようなものです。早期に発見して処理しなければ、大きな火災（データ流出など）につながる可能性があるからです。そのため、世界中のセキュリティ専門家たちは「CVE（Common Vulnerabilities and Exposures、共通脆弱性識別子）」という体系的なリストを通じて情報を共有しています。

しかし今回の事件は、この信頼の基盤であるCVEリスト自体が「AIスロップ（AI slop、AIが無分別に生成した質の低いコンテンツ）」によって汚染されたという点が核心です。特に大企業や機関のように自動化されたセキュリティシステムを使用している場所では、偽の警告一つに数多くの専門人材が不必要な作業に追われることになります。結果として、本当に重要な脅威に対応するための力を浪費させてしまうのです。

簡単に言うと

「AIスロップ」を理解するために例え話を一つしましょう。私たちがレストランに行って「この料理はとても塩辛い！」とレビューを残すときは、そのレストランの料理を直接味わって言っている言葉です。しかし、もしAIに「あるレストランのレビューを書いて」と頼んだら、味も知らないAIがもっともらしい文章で「ここは本当に塩辛くてまずい」といういい加減なレビューを数千個も作り出してしまう可能性があります。

今回のSQLite事件も同じです。セキュリティデータベースは、まるで数多くの専門家が直接検証した「グルメレビュー」を載せる場所ですが、AIが実際の脆弱性分析もなしに「このコードには危険なバグがある」という「偽のレビュー」を公式システムに登録したようなものです。

実際に今回問題となった脆弱性CVE-2026-51302は、「致命的（Critical）」な影響があると主張しましたが、専門家たちが検証した結果、当該脆弱性の証拠は全く再現されず、コードの内容さえも主張と食い違っているいい加減なものだったといいます [参考 11]。

どこまで進んでいるのか？

現在問題となっている脆弱性は、何者かが新しく作成したGitHubリポジトリで配布されたものだと判明しました [参考 1]。問題は、このいい加減な情報が米国の国家脆弱性データベース（NVD）に公式登録され、セキュリティを担当するCISA（米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁）の検証システムさえも通過してしまったということです [参考 1, 参考 4]。

セキュリティ研究機関であるJFrogは、このような現象がセキュリティデータベースを汚染させ、企業が実際には存在しない脅威に対応するために貴重なリソースを浪費させると強く警告しました [参考 2, 参考 9]。現在、セキュリティコミュニティは、こうしたAI生成の偽レポートを排除するために非常事態となっています。

次のステップは何か？

今後は「AIが生成した情報」を検証する別の「AI検証システム」が強化されると見られます。しかし、技術的解決よりも重要なのは、私たちが情報を受け取る姿勢です。データベースやAIの出力を無条件に正しいと信じてはならない時代が来たのです。今後はセキュリティ専門家は、コードを一行修正する前に、これが本当に実際の脅威なのか、それともAIのハルシネーション（Hallucination、事実ではない内容を事実のように話す現象）なのかを区別する「デジタル識別能力」を必須として備えるべきでしょう。

AIによる記者の視点

今回の事件は、AI技術が発展すればするほど、逆説的に「人間が直接確認する検証の価値」がより高まっていることを示しています。AIが1秒で100個のレポートを作成できるなら、私たちは1秒でそれが本物かどうかを見抜く眼識を養わなければなりません。技術は速いですが、真実は依然として人間の細やかな目の中にあります。

参考資料

1. SQLite Critical CVEs or LLM Slop? - JFrog Security Research (https://research.jfrog.com/post/sqlite-critical-cves-or-llm-slops/)
2. SQLite Critical CVEs or LLM Slop? (JFrog blog) [LWN.net] (https://lwn.net/Articles/1086936/)

3. Critical CVE issued for hallucinated SQLite vulnerability

   Hacker News (https://news.ycombinator.com/item?id=49154332)

4. AI slop pollutes the CVE pipeline with fake vulns - The Register (https://www.theregister.com/security/2026/08/03/ai-slop-pollutes-the-cve-pipeline-with-fake-vulns/5282462)
5. Sqlite CVEs and Security Vulnerabilities - OpenCVE (https://app.opencve.io/cve/?vendor=sqlite)
6. SQLite Vulnerability: CVE-2025-6965 - Broadcom support portal (https://knowledge.broadcom.com/external/article/405851/sqlite-vulnerability-cve20256965.html)
7. SQLite Critical CVEs or LLM Slop? (JFrog blog) - Linux News (https://www.linuxnews.net/articles/sqlite-critical-cves-or-llm-slop-jfrog-blog)

8. SQLite Critical CVEs or LLM Slop? (JFrog blog)

   Noise (https://noise.getoto.net/2026/08/03/sqlite-critical-cves-or-llm-slop-jfrog-blog/)

9. News - [LWN.net] SQLite Critical CVEs or LLM Slop? (JFrog …) (https://www.linux.org/threads/lwn-net-sqlite-critical-cves-or-llm-slop-jfrog-blog.69658/)

10. SQLite Critical CVEs or LLM Slop?

    JFrog - LinkedIn (https://www.linkedin.com/posts/jfrog-ltd_sqlite-critical-cves-or-llm-slop-activity-7490096151958945792-3lLX)

11. Vulnerabilities - SQLite (https://sqlite.org/cves.html)
12. News - [LWN.net] SQLite Critical CVEs or LLM Slop? (JFrog …) (https://www.linux.org/threads/lwn-net-sqlite-critical-cves-or-llm-slop-jfrog-blog.69658/latest)