SQLite偽CVE問題、LLMが生成か
원제: SQLite Critical CVEs or LLM Slop?
왜 중요한가
LLMによる虚偽CVE大量生成がNVDやCISAの評価プロセスを欺く事例として、脆弱性管理の信頼性に対する新たなリスクを示している。
JFrog Security Researchは2026年7月30日、GitHubリポジトリ「programmervuln/cveadvisory」が公開したSQLite関連CVE群を調査した結果、6件のCVE（CVE-2026-51296〜51304）がすべてAI生成の虚偽報告である可能性が高いと発表した。NVDはこれらをCRITICAL（最大CVSS 9.8）に分類していたが、実際のコードに該当する脆弱性は確認されなかった。
JFrogのセキュリティ研究者は、GitHubに新規作成されたリポジトリが短期間で50件以上のCVEアドバイザリを公開したことに注目し、SQLite関連の6件について詳細な検証を実施した。
検証手順として、公式SQLiteリポジトリをクローンしてバージョン3.41.0・3.51.2・3.51.3のソースを確認、Docker隔離環境でビルドし、AddressSanitizer（ASan）を用いてPoC SQLを実行した。さらにNVDおよびGHSAのメタデータも精査した。
主な調査結果は以下の通り。CVE-2026-51302（CVSS 9.8）はアドバイザリが参照する関数`exprComputeOperands()`がSQLite 3.41には存在せず、2025年中盤以降に追加されたものであることが判明。CVE-2026-51303（CVSS 9.8）は存在しない修正コミットへの言及が含まれる矛盾したメタデータを持ち、CVE-2026-51296・51297はアドバイザリが実在しない関数名を引用していた。いずれのPoC実行でもクラッシュは発生しなかった。
SQLite公式アドバイザリページにこれらのCVEは一切記載されていない。GPTZeroを用いたテストでもAI生成コンテンツと判定され、全アドバイザリを1ファイルにまとめるとAI生成警告が表示された。Red HatはCVE-2026-51302に当初10.0 Criticalを付与していたが、調査翌日には7.6 Highへ引き下げた。
JFrogは今回の50件超のCVEのうち1件を除きLLMが生成したスラップ（質の低いAI出力）と判断していると述べた。