どこでもSCA：IDEでオープンソースの依存関係をスキャンして修正する

#SCA

#オートフィックス

掲載日

2025年11月28日

最終更新日

2026年1月9日

依存関係の問題は、開発ワークフロー内で直接発生した際に最も容易に対処できます。今回のリリースでは、完全なSCAワークフローをAikido 拡張機能に統合し、エディタ内スキャンとAutoFixによる安全なアップグレード適用機能を組み合わせました。開発者は脆弱なパッケージを検出し、ツールを切り替えたり集中を途切れさせたりすることなく解決できます。

製品、エンジニアリング、セキュリティの分野を問わず、私たちの目標は変わりません。問題の特定から対応までの時間を短縮することです。

なぜSCAをIDEに組み込むのか

製品とエンジニアリングの議論から、その理由は明らかです。開発者は依存関係の問題を早期に可視化し、ツールを切り替えずに解決し、CIでの遅れた検出によるノイズを減らし、ワークフローをコードに可能な限り近づける必要があります。SCAは従来、開発ループの外側に存在し、作業が進んだ後に発見されることが多々ありました。これをIDEに統合することで、これらの課題を適切な場所とタイミングで処理できるようになり、特にAutoFixを通じて修正を同じワークフロー内で適用できる現在では、古くなったパッケージや脆弱なパッケージを特定してから対策を実施するまでのギャップを縮小できます。

仕組み

Aikido 依存関係マニフェストとロックファイルAikido 、正確なパッケージとバージョンのリストを構築します
結果には既知のCVE、深刻度、影響を受けるバージョン、安全なアップグレード範囲が含まれます
手動でSCAスキャンを一度実行すると、拡張機能はワークスペースのロックファイル変更を監視し、結果を自動的に更新します

スキャンを実行するには：

VS CodeでAikido を開く
オープンソースの依存関係へ移動
スキャンを開始
パッケージを選択して詳細、アドバイザリ、修正手順を確認してください
各調査結果には、問題を解決する最小限の安全なバージョンまたはバージョン範囲が表示されます
サポート対象のエコシステムでは、AutoFixがIDEから直接マニフェストを更新するか、安全なバージョンアップを適用できます

これにより、検出と修復が一箇所で完結します。スキャンと修正は複数のツールを跨ぐのではなく、エディター内で実行されるようになりました。

これが解き放つもの

IDEでSCAが利用可能になると、依存関係チェックは次のようになります：

以前、CIの前
より迅速に、別のツールに切り替える必要なし
より明確に、問題点と修正手順を並べて提示
実行可能、サポート対象の VS Code エコシステムでは AutoFix 機能付き

エンジニアリングチームにとっては、依存関係のドリフトと遅延修正のバックログが削減されます。セキュリティチームにとっては、ノイズや手渡しの回数を減らしながら問題を発見・解決できます。

使用言語全体でのSCA

既知のCVEおよびリスクのあるオープンソースライセンスについて、依存関係に対するSCAスキャンを実施します。スキャンは依存関係マニフェストとロックファイルに基づいて行われ、これによりビルドの再現性が向上し、脆弱なパッケージの検出精度が向上します。ロックファイルはプロジェクトのルートディレクトリと全サブフォルダの両方でスキャンされます。

このIDEは、AikidoおよびCIスキャンと同じ依存関係スキャン機能を利用しています。これにはJavaScriptおよびTypeScript、PHP、Java、Swift、Go、Python、.NET、Ruby、Rust、Kotlin、Dart、Elixir、CおよびC++、Scala、Clojure、Unity UPMが含まれます。

サポートされている言語とスキャン対象のロックファイルの完全なリストについては、ドキュメントを参照してください:
https://help.aikido.dev/code-scanning/scanning-practices/support-for-dependency-scanning-by-language

開発者が働くあらゆる場所でのSCA

SCAワークフロー全体をIDEに統合することは、開発者がコードを記述・出荷する現場で必須のチェックを可視化する広範な取り組みの一環です。目標は、セキュリティ信号を迅速かつ正確に、作業現場に近い形で提供し続けることです。これにより、依存関係のスキャンとAutoFixによる安全なアップグレード適用が同一環境で実現しました。今後もエコシステムのカバレッジ拡大とエディタ内体験の改善を継続します。方向性は明確です：セキュリティを作業現場に近づけ、チームが検知結果に基づいて容易に行動できるようにすることです。

IDEでSCAを無料で試す →https://help.aikido.dev/ide-plugins/features/open-source-dependency-scanning-sca-in-ide

‍