Beyond Fable: ローカルLLMはクラウドAIに代わるセキュリティコードレビューが可能か

セキュリティ研究者が、ローカルで実行可能な大規模言語モデル（LLM）がクラウドベースのAIに代わってコードレビューのセキュリティ分析に使用できるかを検証。Fableというツールを皮切りに、プライバシーとコスト面で優位性があるローカルLLMの実用性と精度を評価する。

背景メモ

- 本記事は、セキュリティ関連のドイツ企業SRLabsによる実証実験の報告。同社は「Fable」というコード脆弱性診断ツールを開発してきたが、従来はOpenAIのGPT-4（クラウド上のAPI）を利用していた。 - 著者は、プライバシーやコスト面から、外部のクラウドAIに依存せず、ローカル（自社サーバー上のオープンソースLLM）で同等のコードレビューが可能かを検証。 - 比較対象は、Llama 3やMistralなど主要なローカルLLM。GPT-4の精度にどこまで迫れるか、また処理速度やメモリ使用量といった実用面が焦点。 - セキュリティ監査の現場ではコードを外部に送信したくないというニーズが強く、ローカルLLMへの関心が高まっている。本記事はその現実的な性能と限界を評価している。