SDLCにおけるAI活用の課題
AIの利用を管理する手段がなければ、CISO、AppSec、エンジニアリングリーダーは新たなリスクにさらされ、説明責任を果たすことが困難になります。主な懸念事項は以下の通りです。
- どの開発者が未承認のモデルを使用しているか把握できていない。
- AIを使用する開発者のセキュリティ習熟度に対する不確実性。
- コードの何パーセントがAIによって生成されたものか把握できない。
- AIツールのリスクを管理するためのポリシーやガバナンスを適用できない。
SCW Trust Agent: AI
AIが生成したコードを完全に可視化し、制御します。迅速かつ安全なイノベーションを実現しましょう。
AIの時代
生産性は向上するが、リスクも増大する
AIコーディングツールの普及は、AI生成コードに対する可視性とガバナンスの欠如という新たな課題をもたらしています。
84%
の開発者が、開発プロセスでAIツールを使用している、または使用を予定しています。
Stack Overflow
45%
のAI生成コードにセキュリティ脆弱性が含まれています。
Veracode
81%
のセキュリティチームが、コードベースにおけるAI利用状況を把握できていません。
Cycode
Trust Agent: AIのメリット
SCW Trust Agentの新しいAI機能は、セキュリティを犠牲にすることなく、セキュアなソフトウェア開発ライフサイクル（SDLC）におけるAI導入を自信を持って管理するために必要な、詳細な可視性と制御を提供します。
オブザーバビリティ
AI支援による開発状況を詳細に可視化し、どの開発者がどのAI/LLMモデルを、どのコードベースに対して使用しているかを把握します。
ガバナンス
ポリシー適用を自動化し、AIを活用する開発者が重要なリポジトリへコードを反映させる前に、セキュアコーディング基準を満たしていることを保証します。
リスク指標とベンチマーク
AIが生成したコードを開発者のスキルレベル、発生した脆弱性、実際のコミットと紐付けることで、導入されている真のセキュリティリスクを把握します。
シグナルの独自の組み合わせ
SCWは、組織がセキュリティを犠牲にすることなく、AI主導の開発スピードを享受できるように支援します。AI Signalsは、3つの主要なシグナルの独自の組み合わせを相関させることで、コミットレベルでのAI支援開発者のリスクを理解し、可視化とガバナンスを提供する初のソリューションです。
- AIコーディングツールの利用状況：誰がどのAIツールを使用し、どのコードベースでどのLLMモデルを使っているかについてのインサイト。
- リアルタイムでキャプチャ：Trust Agent: AIは、開発者のコンピュータおよびIDE上でAI生成コードをインターセプトします。
- 開発者のセキュアコーディングスキル：AIを責任を持って活用するために不可欠な基礎スキルである、開発者のセキュアコーディング能力を明確に把握します。
AI利用状況の可視化
AIコーディングアシスタントやエージェント、そしてそれらを支えるLLMの全体像を把握します。未承認のツールやモデルを発見し、「シャドーAI」を排除します。
開発者およびコードベース別のAI支援コミットの可観測性
どの開発者が、どのLLMモデルを使用して、どのコードベースで作業しているかなど、AI支援によるソフトウェア開発の状況を詳細に可視化します。
統合されたガバナンスと制御
AIが生成したコードを実際のコミットと関連付け、導入される真のセキュリティリスクを把握します。ポリシーの適用を自動化し、AIを活用する開発者がコードを提出する前に、セキュアコーディング基準を満たしていることを保証します。
仕組み
AIインサイトの発見
Trust Agent: AIは、LLMを活用したコード生成ツールを使用する開発者がもたらすリスクを企業が可視化できるようにします。このソリューションは、以下の3つのステップで機能します。
- AI生成コードトラフィックの検査:Trust Agent: AIは、シンプルなIDEプラグインまたはエンドポイントエージェントとしてデプロイされ、GitHub Copilot、ChatGPT、Google Gemini、CursorなどのAIコーディングツールによって生成されたコードを傍受および監視します。
- 開発者のスキルレベルによる強化:最終ステップでは、業界をリードするSCWのセキュアコード学習製品で測定された、貢献開発者のセキュアコーディング習熟度をこのデータに統合します。
Trust Agent: AIは、これらの重要なシグナルを相関させることで、承認されていないLLMモデルの使用状況や、AI生成コードをコミットしているセキュアコーディング知識の乏しい開発者の特定など、セキュリティチームやエンジニアリングチームにとって有益な情報を提供します。
リソースハブ
Secure Code Warriorの追加リソース
AIインサイトに関するリソース
%25252520(1).avif)
リソースハブ