トークン消費85％減 Googleが脆弱性を自動修正するオープンソースハーネス「Mantis」公開：プロンプト1行で組み込める

Googleは、ソフトウェアの脆弱性の発見から修正までを自動化するオープンソースのハーネス「Mantis」を公開した。

[＠IT]

　Googleは2026年9月2日（米国時間）、ソフトウェアの脆弱（ぜいじゃく）性の発見、トリアージ（優先順位付け）、修正を自動化するオープンソースのハーネス「Mantis」をGitHubで公開した。

　Googleが社内で脆弱性を高速に発見し修正する取り組みの一環でもあり、コンテキストを考慮したリポジトリ分析を可能にするとしている。

　AIモデルが、人の手をほとんど借りずに脆弱性を発見し悪用する能力を示す中、Googleは、防御側がAIで優位に立てるようにするため、Mantisを開発したという。

階層的な要約ツリーでトークンを85％超削減

　「AIによるコードスキャンは、作りが粗いと存在しないバグを報告し、真陽性率が7％を下回ることも多い」と、Googleは指摘する。

　Mantisは、評価・批評を担当するエージェントなど業界標準のエージェント技術と、サンドボックス（隔離された実行環境）内での脆弱性の再現を組み合わせることで、効果を発揮するように設計されている。

　リポジトリの履歴も手掛かりにする。過去のセキュリティ修正から学習し、アーキテクチャや脅威モデルの文書が用意されていない場合でも自動で構築する。

　Mantisは、個々のファイルの内容をディレクトリ単位、さらにルート単位の要約へとまとめる階層的なセキュリティ要約ツリーを構築する。Googleによると、この手法によって大規模なリポジトリでも構造上のコンテキストを保ったまま、トークンの消費を85％超削減できたという。

Mantisの利用方法

　利用手順は2段階ある。まず、次のコマンドでMantisのリポジトリをローカルにクローンする。

git clone https://github.com/google/mantis.git

　次に、使っているコーディングエージェントで以下のプロンプトを入力する。

path/to/mantis（Mantisのパス）にあるMantisを使って、path/to/your/code（コードのパス）のコードをレビューしたい。開始方法を教えて

　Googleは社内でもこのプロンプトをそのまま使い、多数のコードリポジトリで脆弱性を見つけているという。

　サンドボックスの設定例はMantisのリポジトリに含まれており、利用者のワークフローに合わせて独自のサンドボックスを実装することもできる。

　AIが見つけた脆弱性を扱えるようになったら、蓄積した知見を使ってコーディングエージェントに最初から安全なコードを書かせる「mantis-advise」スキルも利用できる。

成果を出すにはコンテキストの付与とサンドボックスが不可欠

　Googleは、AIを使った脆弱性発見の効果を高めるため、2つのプラクティスを強く推奨している。

　1つは、ツールに適切なコンテキストを与えることだ。Mantisはコミット履歴とコードを自動で解析して自身のための文書を作るが、人が整理した知識を加えると結果の質が大きく上がる。

　「特定の条件で発生し、影響範囲の低い不具合は修正優先度を下げる」といったポリシーがある場合、その方針はスキャンのパイプラインにとって重要な情報になるという。

　もう1つは、脆弱性の判定基準を備えたサンドボックスを用意することだ。脆弱性を安全に再現できる環境があれば、本当に知るべき問題だけを浮かび上がらせ、修正が正しいことも確認しやすくなるとしている。