Googleが「脆弱性の自動狩猟」を始めた——Mantisが実現する、セキュリティ対策の完全自動化が変える開発の未来

「人間の脆弱性ハンター」は過去の遺物になるのか

セキュリティエンジニアたちの日常は、膨大なコードベースの中から潜む脆弱性を探し出す果てしない旅でした。数百万行のコード、複雑に絡み合った依存関係、日々新しくなる攻撃手法——これらに対抗するため、企業は莫大なリソースを投じてきました。しかし2026年9月、Googleが公開した「Mantis」というオープンソースフレームワークは、この業界慣行を根本から揺さぶる存在として浮上しています。

Mantisが革新的な理由は、単なる脆弱性検出ツールではないという点です。従来のセキュリティ分析ツールは「脆弱性の候補を見つけて報告する」段階に留まっていました。しかし、Mantisは発見から再現、そして修正プログラムの生成までを一貫して自動化するAIエージェント的な存在として機能するのです。

トークンオーバーヘッド85%削減——大規模リポジトリでの「スケーラビリティの壁」を突破

大規模なコードリポジトリでAIモデルを使用する際、最大の課題は「トークン消費量の爆発」でした。LLM（大言語モデル）は入力データを細かく分割された「トークン」として処理しますが、巨大なソースコードを扱う場合、必要なトークン数は急速に増加し、処理コストと実行時間が飛躍的に増加していました。

Mantisが実現した85%超のトークンオーバーヘッド削減は、以下のような工夫によって達成されています：

• スマート候補絞り込み：全コードを闇雲に分析するのではなく、危険度の高い領域を優先的に特定
• 文脈圧縮技術：関連性の低い情報を自動排除し、分析に必要な情報のみを抽出
• 段階的スコーピング：粗い分析から段階的に詳細化することで、無駄な計算を削減

この技術進化は単なる「コスト削減」ではなく、AIセキュリティ分析の民主化を意味します。従来は数百万円のクラウド処理費用が必要だった大規模コード分析が、より低コストで実現可能になるのです。

AIが「脆弱性を再現する」という新たな境界線

Mantisの最も興味深い側面は、脆弱性の「再現」を自動化している点です。セキュリティ研究では、脆弱性を発見することと、それが実際に機能する条件を再現することは全く別の問題です。

従来の流れ：
1. 脆弱性検出ツールが「ここに問題がある可能性」と指摘
2. セキュリティエンジニアが手作業で再現条件を構築
3. 実際に利用可能な脆弱性なのかを確認
4. 修正方法を提案

Mantisの流れ：
1. AIが脆弱性を特定
2. AIが自動的に再現用のテストケースを生成
3. AIが修正コードの複数案を提示
4. エンジニアは検証・承認のみ実施

この自動化により、セキュリティエンジニアが実施する作業は「検証と意思決定」というより高度な領域にシフトします。ルーチン的な分析タスクからの解放は、より複雑な攻撃シナリオの検討や、ゼロデイ脆弱性への対応に人的リソースを集中させることを可能にします。

オープンソース化が生む「セキュリティの民主化」と新たなリスク

Googleがこのフレームワークをオープンソースで公開した決定は、業界全体に大きな影響を与えます。これまでセキュリティ分析は、大手企業や専門機関に独占されていた領域でした。Mantisの公開により：

• スタートアップやOSSプロジェクトも高度なセキュリティ分析が可能に
• 開発途上国のセキュリティチームも同等レベルの脆弱性検出ツールを利用可能に
• セキュリティ格差の縮小が実現

一方で、懸念点も存在します。同じツールが攻撃者にも利用される可能性があり、「脆弱性発見のAI化の競争」は、防御側と攻撃側の両方を加速させることになるでしょう。

まとめ：セキュリティの「人間依存体質」が終わる日

Mantisは単なるセキュリティツールの進化ではなく、ソフトウェア開発プロセス全体の変革を示唆しています。脆弱性の発見・再現・修正が自動化される時代において、セキュリティエンジニアの役割は「検査官」から「戦略家」へと進化する必要があります。

今後、このような自動化ツールは急速に進化し、AIが複雑なセキュリティ課題を自動解決する時代がやってくるでしょう。その過程では、適切な人的検証と倫理的ガイドラインの構築が、これまで以上に重要になってくるはずです。