Akamai Code Guardianは、AIを活用したソフトウェア開発のためのセキュリティソリューションであり、Apiiroの技術を基盤としています。本番環境への展開前に安全でないコードが生成されるのを防ぎ、脆弱性への対処を自動化するとともに、コードの生成から実行環境までを包括的に可視化できるよう設計されています。
重要ポイント
-
ガバナンスを伴わない開発の高速化は重大なセキュリティリスクにつながる。
-
コーディング用AIツールは、コード生成のスピードを向上させる一方で、アタックサーフェスの拡大を招きます。本番環境への展開前に脆弱性を予防することで、高スピードの開発プロセスが実行環境に到達する前に、セキュリティの制御を確保できます。
-
コードの事後的なスキャンでは現代のソフトウェア開発のスピードに追いつけなくなっている。
-
脆弱性が悪用されるまでの猶予時間が急激に短くなる中で、セキュリティチームは事後的なスキャンだけで乗り切ることができなくなりました。アーキテクチャに関するコンテキストを継続的に提供することで、チームは実際のビジネスリスクの優先順位を整理し、迅速に緩和できます。
-
セキュリティ上の見落としを解消するためには、ライフサイクル全体の可視化が必要である。
-
ソフトウェアのアーキテクチャが複雑になると、開発者による変更箇所やサプライチェーンの依存関係が見えにくくなります。コードの生成から実行環境までのプロセスを詳細にマッピングすることで、セキュリティ上の見落としを解消し、あらゆる資産に対する制御を維持できるようになります。
-
脆弱性への対処が遅れると、システムがゼロデイ攻撃の危険にさらされる。
-
手動でパッチを作成していても、AIを活用した攻撃手法のスピードには追いつけません。開発者が普段利用している環境で修正案が自動生成されるようにすることで、開発段階で脆弱性を解消し、攻撃にさらされる時間を短縮できます。
-
専門知識のない人でもアプリケーションを開発できるようになると、思わぬリスクが生じる。
-
技術者でないユーザーが自然言語のプロンプトでアプリを開発する際は、セキュリティに対する意識が十分でない場合があります。予防策を自動化し、ガードレールを開発プロセスに組み込むことで、ビジネスの革新を妨げることなく、社内全体で一貫したコンプライアンスを確保できます。
よくある質問（FAQ）
よくある質問（FAQ）
コーディング用AIアシスタントによって開発のスピードが上がり、高度な知識がなくてもソフトウェア開発がしやすくなった一方で、攻撃者側はAIを搭載した攻撃ツールを利用して、これまでにないスピードで脆弱性を即座に特定し、悪用するようになりました。その結果、脆弱性が悪用されるまでの時間の中央値がゼロ日にまで短縮されています。
ApiiroのAppSec Data Fabricを基盤としています。これはSoftware Graph（リポジトリ、API、インフラ、依存関係、パイプライン、実行環境にわたってソフトウェアのアーキテクチャをマッピングする機能）とRisk Graph（独自のポリシー、コンプライアンス要件、ビジネスリスクを評価する機能）を組み合わせたものです。
AIに送信するプロンプトに情報を付加し、脅威モデリングを行うことで、安全でないコードの生成を防ぐレイヤーと、コードがソース管理システムに到達する前に、コードやシステムの状態を踏まえて脆弱性に自動で対処するレイヤーがあります。
AppSec Data Fabricから得たAIに関するコンテキスト情報を活用し、開発者が普段利用している環境に合わせてプルリクエストやコードの修正案を生成することで、開発者が既存のワークフロー内でコンプライアンス要件に適合した安全なパッチを直接確認し、適用できるようにします。
主な機能としては、コードの生成から実行環境までの詳細な可視化、高度なリスクの優先順位付け、修正案の自動生成、シフトレフトでのポリシー適用、AIエージェントとパイプラインの管理などがあります。
自然言語によるプロンプトやAIツール、インフラのテンプレートに対してガードレールとガバナンスを設けることで、専門知識を持たない人がアプリケーションを作成する際に一貫したセキュリティ対策と社内基準を遵守できるようにします。
従来のスキャンでは、コードを作成した後のバグ検知が中心となるため、未対応の問題の蓄積に伴う負担が生じ、攻撃者のスピードに後れを取ってしまいます。予防的な対策を取ることで、リスクが本番環境や実行環境に到達する前に阻止できます。