オートトリアージとセキュリティ・ノイズ低減のスイスチーズ・モデル

あるいは、従来のスキャナーが過剰に報告する理由

スイスチーズモデルはリスクを考察する古典的な手法である。安全が極めて重要な産業において、このモデルは複数の不完全な防御策に存在する「穴」が重なった時に事故が発生すると提唱する。こうしたリスクを軽減するには、防御層を追加して穴を縮小または除去し、悪影響がすり抜けるのを防ぐ。

クレジット: ベン・アベリング

アプリケーションセキュリティにおいて、インシデントはコードや設定の悪用だけでなく、誤検知や遅延した修復作業によるエンジニアリングの焦点の喪失によっても引き起こされる。脆弱性管理はエンジニアリングとプロセスの両面の問題であり、Aikido ノイズを削減し重要な修正を加速させる戦略的アプローチAikido 。

多層防御の重要性

現代的なアプリケーションセキュリティ（AppSec）のワークフローは、積み重ねられた一連の「スライス」で構成されると視覚化できます。各スライスは異なる種類の問題を捕捉し、全体的なリスク表面を縮小するように設計されています。これには以下が含まれます：

• コードスキャンと到達可能性
• 問題の優先順位付けを行い、悪用可能性、優先度、影響度を評価する
• 悪用の可能性とその環境的文脈
• 人間が関与する制御（ローカルIDE、CIシステム、プルリクエスト承認フロー）
• 人間とLLMを用いたコードの実際の修正

上記の各要素は、悪用可能な弱点であると同時に、修正作業のボトルネックとなり得る。Aikidoワークフローは、摩擦を徹底的に低減する方向で設計されており、実際の 脆弱性が最も悪用されやすい段階で修正されるよう配慮されている。

到達可能性のある収縮孔

従来のコードスキャンの弱点は、「成功」が可能な限り多くの問題を発見することと誤解されがちな点である。これには、ユーザー制御入力から脆弱なコードパスやパッケージに到達できない場合でも脆弱性として報告される発見も含まれる。Aikido 到達可能性エンジンはプログラムフロー解析を追加し、こうしたケースを事前に自動無視する。これだけでノイズの大幅な削減が実現される。

例えば、従来のSCAスキャナは、古いバージョンの pyyaml 重大な脆弱性を含む。ただし、到達可能性分析により、実際にこのパッケージを使用するコードは存在しないことが判明した。したがって、文書化された深刻度にもかかわらず、この問題は安全に自動無視できる。

‍

推論ゲートとしてのオートトリアージ

到達可能性により発見が名目上利用可能と判断された場合、Aikido 以下を問い合わせます：

1. 悪用可能性を排除できるでしょうか？つまり、悪用を軽減する効果的な検証、サニタイズ、または型変換は存在するでしょうか。
2. 排除できない場合、優先順位をどう付けるべきか？発生確率と深刻度を評価し、それに応じて順位付けする。

推論モデルがどのように役立つかについては以前にも解説しました。多くの場合、「経験則」で十分（かつ低コスト）です。より複雑なケース（例えばパストラバーサル）では、推論モデルが問題を分解することで偽陽性をさらに低減します。

これらすべてを支えているのは、 狼少年効果に対する鋭い認識である。低価値のアラートが多すぎると信頼と対応が損なわれる。これを減らすことがAutoTriageの主要な目標だ。

悪用の可能性と環境コンテキスト

現実世界での悪用可能性が重要だ。Aikido EPSS を用いて、低リスクの問題を自動的に無視または優先度を下げ、実際に攻撃が発生している領域にチームを集中させます。EPSSは毎日更新されるため、この層はスタックを過去のCVSSスコアではなく、現在の脅威の実態に常に適合させ続けます。

さらに、インターネットへの露出、開発環境と本番環境の差異、周辺制御などの文脈に基づいて深刻度をアップグレードまたはダウングレードします。ここで文脈の収集が極めて重要です。文脈が間違っていれば、深刻度の判断も誤ります。これが、LLMのプロンプト調整に投資し、自動トリアージを実行するモデルに適切なコードと環境の詳細をパイプで送り込む理由です。

到達可能性は、このエクスプロイトがコード内で実行可能であることを示しています。ただし、AI分析により、このリクエスト偽造脆弱性は影響を及ぼさないことが判明しました。その理由は、ホストドメインがハードコードされており、攻撃者によって変更できないためです。

重要な場面でのヒューマン・イン・ザ・ループ

生成AIにはよく知られたフィードバックループの問題がある。人間が最終判断を下すために、出力結果を直感的に検証する必要が依然として存在する。Aikido 、チームが既に作業している場所にAikido 推奨事項を表示する：

• IDE内で修正できるようにし、共有リポジトリにプッシュしてCIパイプラインを実行する前に素早く修正を加えられます
• PRでは、レビュアーがコード変更時にトリアージの文脈と自動修正提案を即座に確認できるようにします。
• CIでは、既存の自動化されたビルド、テスト、デプロイのパイプラインの文脈でセキュリティを配置できます。

目標は、人間の時間、労力、判断力を、真に必要な場所に集中させることである。

AutoFixは修正を即時配信します

発見された脆弱性が悪用されやすく、影響が大きい場合、最適なAikido既に組み立てられたコンテキストを含む文書化された修正方法を含むものです。Aikido AI AutoFix は修正に必要な変更のプレビューを提供し、リポジトリ向けのプルリクエストを生成し、コード変更の詳細なコメントと解決される脆弱性を明示します。

‍

AutoFixは現在、SAST、IaCスキャン、SCA、およびコンテナイメージに対応しています。お客様のコードはAI技術によって永続的に保存されることはなく、AIモデルのトレーニングに使用されることもありません（Aikido トラストセンターをご覧ください）。

Aikido 活用

元のスイスチーズモデルは、インシデントが複数の弱点が重なった結果として発生すると説く。アプリケーションセキュリティにおいて、ノイズと遅延はその弱点の一つだ。Aikidoを初めて学ぶ者は、予想より少ないセキュリティ問題しか表面化しない理由に当初戸惑うかもしれない。これは設計上の意図である！Aikido 積極的に、数百件の問題をトリアージする管理作業を最小化するよう働きかける。その中には意味のある影響を持つものは一部に過ぎないのだから。

到達可能性の階層化、推論に基づく優先順位付け、必要に応じた人的検証、ワンクリック修正を組み合わせることで、これらの問題が重なる可能性を大幅に低減し、チームが真に重要な業務へ移行するプロセスを大幅に簡素化します。

‍