Aikido Security

Aikidoは、プロジェクトが取り込むオープンソースパッケージを既知の脆弱性データベースと照合する。平坦な一覧で終わらせず、コードが実際に呼び出しているパッケージまで対応づけるため、使っていないライブラリに埋もれたCVEは優先度が下がる。ライセンスのリスクと破壊的変更も同じ画面に出るので、定例のアップグレード判断が速くなる。

SASTエンジンはソースを読み、インジェクションの欠陥、安全でない既定値、その他のよくあるバグを洗い出す。土台になるルールセットはAikido自身が保守している。カスタムルールを足して自分のコードベースに合わせられ、汎用的なスキャンを受け入れる必要はない。AI支援の修正が誤検知率を下げ、これまでSASTの結果を信じにくくしていた要因を減らす。

スキャナーが本当の問題だと確認すると、AutoFixがパッチを書いてレビュー用のpull requestを開く。リポジトリの流儀に従うので、変更は同僚が出しそうな形になる。あとは普段どおりにレビューしてマージするだけで、修正は別のダッシュボードではなく普段のワークフローの中で完結する。

Aikidoは、ローカルのIDEからCIパイプライン、Git履歴まで、ソフトウェアのライフサイクル全体にわたって露出した認証情報を探す。漏れたキーがまだ有効かを確かめるので、どれを急いで交換すべきか分かる。コミット前のブロックにより、シークレットがリポジトリに入ること自体を防ぐ。

クラウドアカウントかコンテナレジストリをつなぐと、Aikidoが稼働中のインフラ全体の設定ミス、公開されたサービス、危険な権限を洗い出す。つながったリソース間の攻撃経路を描くため、重要な場所へ通じる低深刻度の穴は順位が上がる。脆弱性管理に実際の優先順位が付くわけだ。Infrastructure as Codeのファイルはデプロイ前に検査する。

Aikidoの攻撃エージェントは、人間のペネトレーションテスターと同じように稼働中のアプリとAPIを試す。利用者間のデータ漏えいやプロンプトインジェクションなど、悪用できる欠陥を探る。結果は理論上の警告ではなく、証拠と再現手順を伴って返る。継続テストなので、年1回の監査ではなく、リリースごとに新しい回が走る。