ウェブサイトを動かすプログラミング言語「PHP」で重大な欠陥が見つかった問題をめぐり、PHP財団は対応が遅れたことを「構造的な失敗」と認めた。AI（人工知能）で欠陥が見つけやすくなった時代に、修正や更新を担う体制に課題があることを示している。社会の基盤となるソフトウェアの安全性を誰が、どう支えるのか。浮かび上がったのは四つの課題だ。
ウェブサイト技術者が足りない
課題の一つ目は、広く使われているソフトの保守を限られた人材と資金で担っている点だ。PHPは、世界中のボランティアを中心とする「コミュニティー」が開発と運営を担う仕組みで成り立っている。非営利団体「PHP財団」が寄付を募って資金を調達し、開発者を支援している。
PHPのセキュリティー開発者アレクサンドル・ドボワ氏は、今回の問題が公になる前の14日、限られた人員と時間と資源で安全対策に当たっていると説明していた。財団は今回の欠陥対応を公表した21日の声明で、安全を支える資金と技術者が不足していると訴えた。
危険性の見極めが難しい
政府サービスや銀行をはじめとした企業などに広く使われているにもかかわらず、無償で使えることから開発者の資金に自動的にまわる仕組みはない。だが、AIがシステムの欠陥を見つけやすくなると負担は増える。ドボワ氏によると、財団のチームは7月以降、15件の欠陥情報を公開した。報告が正しいかを確かめ、危険性を判断し、修正を検証する作業には人の手が必要だ。既存のサービスへの影響まで見通せる高度な専門知識も求められる。
「全ての判断は人間が行っている」といい、安全を担う人材への投資が欠かせない。
第二に、危険性をどの段階で見極めるかという難しさだ。財団は今回の欠陥問題の兆候を、2024年にすでに把握していた。しかし、この欠陥には具体的な攻撃経路が見つからず、実際にこれがセキュリティーの突破口にされる可能性は低いと判断し、別の問題に優先的に当たっていた。
