何が起きたか
Google Threat Intelligence Groupは、Mandiant IR、ペネトレーションテスト、レッドチームエンゲージメントで10ヶ月間使用されているGoogle ADKベースのマルチエージェント社内ソースコード脆弱性発見パイプラインであるAVDHの詳細を公開しました。盗まれたリポジトリIRケースで2日間で100以上の真陽性の重大な脆弱性を発見し、12個の割り当てられたCVEを生成しており、いかなる発見も数える前に必須の人間による検証があります。
なぜ重要か
これは一流ベンダーからの本番運用環境で人間参加型のエージェント脆弱性発見ハーネスの最も詳細な公開開示であり、防御側に参照アーキテクチャ（脅威モデリング→エントリーポイント発見→エンリッチメント→仮説生成/検証→人間によるレビュー）を提供して、独自のAppSec/IRパイプラインを評価します。
適用範囲
エージェントコードレビューツールを評価しているAppSec、レッドチーム、IRチームは現在アーキテクチャを研究すべきです。本番使用には、導入前のベンチマーキングと人間による再現が必要です。