脆弱性が知られてから悪用されるまでの時間は短くなっています。攻撃者は今、AI エージェントを使い、チームがレビューできるよりも速いペースでソフトウェアの弱点を探しています。防御側にも同じ能力が必要です。攻撃者より先に脆弱性を発見し、修正する AI エージェントが求められています。
私たちは8月、アプリケーション固有の脆弱性を見つけるために CodeRabbit Secure を公開しました。セキュリティ専用のエージェントがセマンティック分析を使い、攻撃者と同じ視点で脆弱性を探し、発見した問題の修正を開発者に支援します。
本日、CodeRabbit Secure の新機能を公開します。Deep Scan はリンクされたリポジトリをまたいでリスクを追跡できるようになりました。ランタイム検証は、使い捨てのサンドボックスで攻撃を再現し、実在する脆弱性を確認します。Security Check は緊急度の高い問題が未解決の間、プルリクエストのマージを止めます。新しい連携機能は、チームがすでに使っているチケット管理システムに検出結果を届けます。
単発のスキャンから継続的なセキュリティレビューへ
CodeRabbit はプルリクエストが開かれると、その差分をレビューしてセキュリティ上の脆弱性を探します。Deep Scan はそのレビューをリポジトリ内の既存コードに広げ、攻撃経路を追跡し、最新の差分より前から存在するリスクを明らかにします。変更がマージされると、自動デルタスキャンが変更されたコードと以前の検証が古くなった領域を再確認し、フルスキャンを繰り返さずにセキュリティのカバレッジを最新に保ちます。
Deep Scan はリポジトリ全体のコミット済みコードを調べ、数か月前、あるいは数年前に出荷されたリスクを特定して、セキュリティの基準を確立します。継続的な PR セキュリティレビューは新しい変更を監視し、検出した問題の到達可能性と悪用可能性を評価します。これにより、プルリクエスト内の優先順位が実際のリスクを反映します。Change Stack の Blast Radius と Architecture Review は、変更された行の外まで視野を広げ、変更の影響を受ける呼び出し元、下流の利用側、信頼境界を示します。
Attack Surface Map はこの2つをつなぎます。リポジトリ内のセキュリティに関係する領域について、検証が最新か、マージによって古くなったかを記録するため、何が確認済みで、いつ再スキャンが必要かがわかります。これらの機能が連携し、コードの変化に合わせてセキュリティの全体像を保ちます。
これらは既存の静的チェックを置き換えるものではありません。CodeRabbit Secure は既存のツールと併用でき、セマンティック分析によって固定ルールでは答えられない問いを検討します。たとえば、認証済みユーザーが要求しているデータを本当に所有しているか、別のコード経路からそのチェックを回避できるか、といった問いです。攻撃者が AI エージェントに調べさせるこうした問題を、CodeRabbit Secure は防御側のために調査します。
今回のリリースは、単発のスキャンと変化し続けるコードベースの間をつなぎます。Deep Scan は検出結果を報告する前にアプリケーションのより広い範囲を把握し、チームには報告後に対応するための選択肢が増えました。
Deep Scan がリンクされたリポジトリを横断して読み取る
本番システムは複数のリポジトリにまたがることがよくあります。機密性の高いコードへ到達する途中でリクエストがリポジトリの境界を越える場合、単一リポジトリだけを対象とするスキャンでは、リクエストの発生元や適用される保護措置を見落とす可能性があります。文脈が不足すると、保護されたコードが脆弱に見えたり、実際の攻撃経路が隠れたりします。
Deep Scan はリンクされたリポジトリを読み、サービスやライブラリをまたいでリクエストを追跡できるようになりました。検出結果を公開する前に、アプリケーションの別の場所にある保護措置を考慮し、問題が現れるサービスの文脈で評価します。これによりノイズが減り、チームは実際の問題に集中できます。リスクがリポジトリの境界をまたぐことの多い、マイクロサービスや共有ライブラリを運用するチームに特に役立ちます。
CodeRabbit がコードレビュー中に関連リポジトリをすでに発見していれば、Deep Scan は同じリンクを使います。マージに合わせて検出も続きます。リポジトリを手動でリンクし、その関係についてメモを追加することもできます。どちらの場合も、スキャンが読み取れるリンク先は自分で選びます。選択したリポジトリがスキャン対象となり、それ以外は個別にスキャンされることなく文脈を提供します。
Deep Scan のリンクされたリポジトリのコンテキストは、GitHub Cloud、GitHub Enterprise Server、GitLab Cloud で利用できます。プランの制限内で、1回のスキャンにつき最大20個のリンク先を読み取れます。設定方法はドキュメントをご覧ください。
Deep Scan の検出結果をランタイムで検証する
Deep Scan のすべての検出結果は、公開前に検証エージェントを通ります。このエージェントは引用されたコードを開き直し、到達可能性を調べ、アプリケーションの別の場所にある保護措置を探し、証拠が裏付けない結果を除外します。
ランタイム検証は、さらに別の種類の証拠を加えます。対象となる検出結果について、CodeRabbit は本番システムではなく、使い捨てのサンドボックスで攻撃を再現します。理論上のリスクだけでなく、再現手順と、問題が成立するかどうかを示す実行結果を確認できます。脆弱性から悪用までの経路を見て、対応を判断できるようになります。セキュリティエンジニアはより速く優先順位を付け、開発者はどの問題から修正すべきかを把握できます。
Deep Scan の検出結果に対するランタイム検証は、本日から利用できます。
デルタスキャン：低コストでカバレッジを自動維持する
フル Deep Scan はリポジトリ全体を読み取るため、基準を確立するのに適しています。デルタスキャンはその基準から始め、前回から変化した部分だけを再スキャンします。対象は追加・変更されたファイルと、その変更により検証が古くなった Attack Surface Map の領域です。誰も変更していないコードは検証済みの状態を維持します。再確認してもセキュリティは向上せず、コストだけが増えるためです。
必要な作業だけに料金が発生するので、フルスキャンに比べてコストを大幅に抑えられます。検証済みカバレッジの目標を設定すると、それを下回るたびに、CodeRabbit が月間の支出上限内でデルタスキャンを実行します。誰かが手動で開始しなくても、コードの変化に合わせてカバレッジを維持できます。
支出を管理しながら検証、再確認、自動修正を進める
任意の検出結果を、デフォルトブランチの最新コミットに対して再確認することもできます。すでに修正済みなら、そのことを確認できます。深刻度が適切でなければ調整でき、必要に応じて今後のスキャン向けの学習として保存できます。また、修正がマージされると、CodeRabbit が検証して検出結果を自動的に解決するため、修正済みの問題が残り続けることはありません。
スキャンに使える金額も自分で決められます。Deep Scan はデフォルトではカバレッジが100%になるまで実行します。支出上限を設定した場合は、予算に達すると停止します。完了前に停止しても、最初からやり直す必要はなく、止まったところから再開できます。これらの設定により、セキュリティとエンジニアリングの責任者は検出結果の正確さとコストの予測可能性を保ち、チームは重要な問題に時間を使えます。
緊急度の高いセキュリティ問題があるマージを止める
CodeRabbit Secure では、プルリクエストに未解決の緊急度の高いセキュリティ問題がある場合、リポジトリ管理者がマージをブロックできるようになりました。GitHub のネイティブチェックとして動作し、緊急度の高い脆弱性の修正を CodeRabbit が検証するまでマージを止めます。
CodeRabbit アプリで Security → Repositories に進み、リポジトリを選択して Settings を開き、Publish CodeRabbit Security check を有効にします。デフォルトでは、表示中の Security レビューコメントに Critical と評価されたものがあるとチェックが失敗しますが、別の深刻度をしきい値にすることもできます。チェックの失敗がマージをブロックするのは、リポジトリ管理者がブランチ保護ルールまたはルールセットで CodeRabbit Security を必須チェックに指定した場合のみです。
チェックのレポートには、深刻度別のコメント数、検証済みの修正、残りのブロッカーが表示され、それぞれのコメントへ移動できます。GitHub のスレッドを解決済みにしてもブロッカーは消えません。CodeRabbit が修正を検証するまでプッシュをまたいで維持されるため、レビュー担当者は何がまだマージを妨げているかを把握できます。
Security Check は現在 GitHub に対応しており、他のプラットフォームへの対応も予定しています。詳しくはドキュメントをご覧ください。
組織全体のセキュリティ検出結果を把握する
CodeRabbit は、エンジニアリングとセキュリティの責任者向けに、PR セキュリティレビューの組織全体のレポートと、Deep Scan の検出結果を絞り込み・エクスポートする機能を提供します。問題が実際に修正されているか、どこにリスクが蓄積しているかを示します。PR security reviews のレポートには次の情報が含まれます。
- 受け入れられた検出結果と受け入れ率：開発者が CodeRabbit の指摘にどの程度対応しているかを把握できます。
- 未対応の検出結果：緊急度および深刻度の高い問題を強調表示し、全件一覧へリンクします。
- リポジトリ別のレビュー済み PR 100件あたりの検出結果数と、その元となる件数、および PR 所有者別の修正状況（修正済み件数と総件数）。
- 深刻度、脆弱性のカテゴリ、到達可能性、悪用可能性ごとの内訳。
コードベースの検出結果については、到達可能性と悪用可能性で Deep Scan の結果を絞り込み、優先して対応すべき問題に集中できます。絞り込んだ一覧を PDF としてエクスポートすることもできます。
検出結果を Jira と Linear に送る
対応すると決めた問題は、修正を担当するチームに届ける必要があります。CodeRabbit では、Deep Scan または PR セキュリティの検出結果から Jira や Linear のチケットをプレビューし、ワンクリックで作成できます。深刻度のしきい値を設定し、チケットを自動作成することもできるため、検出結果をバックログに転記する必要がなくなります。セキュリティチームは、修正の責任を持つ人へ問題を直接引き渡せます。
API で Deep Scan の検出結果を取得する
セキュリティチームは、資産一覧、インシデント履歴、コンプライアンス報告など、他のシステムのデータと検出結果を組み合わせて分析する必要があります。CodeRabbit の Enterprise プランをご利用のお客様は、読み取り専用の CodeRabbit REST API で Deep Scan の検出結果を取得し、データレイク、SIEM、社内のエージェントへエクスポートできます。その他すべての CodeRabbit Secure 機能は、14日間の Advanced トライアルを含む Advanced および Enterprise プランで利用できます。
curl --request GET \
--url https://api.coderabbit.ai/v1/security/scans/code \
--header 'x-coderabbitai-api-key: <api-key>'
今すぐ自分のコードで Deep Scan を実行する
今回のリリースにより、CodeRabbit Secure は、コミット済みのコードと新しい変更から得られた検証済みの検出結果を、何を出荷するかの判断までつなぎます。CodeRabbit がエージェントによるソフトウェア開発のガバナンスと制御のレイヤーである、というのはこのことです。エージェントの速度で開発しながら、出荷するコードを信頼できるようチームを支援します。AI は攻撃経路を見つけます。CodeRabbit は、それより先に発見して修正することを支援します。
過去30日間だけでも、CodeRabbit Secure は600の組織で8,000件を超える深刻度の高い、または緊急度の高い脆弱性を発見しました。コードに何が潜んでいるかを知るには、調べるしかありません。CodeRabbit は11月8日まで、総額100万ドル分の Deep Scan を無料で提供します。2人以上のメンバーがいる組織なら、既存のお客様、以前のお客様、新規のお客様、オープンソースのチームを含め、予算が残っている限り先着順で最大5,000ドル分を利用できます。
