一目でわかる
- GitHub、GitLab、Azure DevOpsのソースに Aikido GitHub、GitLab、Azure DevOpsのソースに直接接続され、スキャンは即座に開始され、パイプラインによる調整は不要です
- 買収を通じて加わったチームを含め、組織内のすべてのチームに対してセキュリティ対策を講じた
- 全環境におけるゼロデイ脆弱性のチェック時間を数秒に短縮
- 開発者が既存のソース管理アカウントを使って自らオンボーディングを行い、自身の課題を自分で処理できるようにする
- コンテナ内の問題など、特定された問題をリポジトリ内の正確なファイルまで追跡した
- 大規模な移行作業を行うことなく、Black Duckから移行した
- エステートを検索して、既成のレポートを返す Aikido API その上で、敷地内を検索し、完成済みのレポートを返すAIエージェントを構築した
AIの発展に合わせてセキュリティ対策を整備する
NiCEは、150カ国以上、25,000を超える組織向けに、顧客体験および金融犯罪対策用のソフトウェアを開発しています。1986年に設立され、NASDAQに上場している同社は、多数の製品にまたがる数千人の開発者からなるエンジニアリング組織を運営しており、買収を通じてその規模は拡大し続けています。
マタン・ケレット氏はNiCEに約16年間在籍し、ソフトウェア開発者からプリンシパルアーキテクトへとキャリアを積んできました。同氏はエンジニアリング組織のセキュリティを統括しており、AI時代のこの役割を一言でこう表現しています。
「AIの時代において、私たちは、すべてを管理下に置き、安全を確保しつつ、チームがセキュリティ上の懸念を一切抱くことなく業務に取り組めるようにする必要があります。」
NiCEのような規模でその要件を満たすのが難しいのです。数千人の開発者にわたって業務を拡大するのは困難ですが、とりわけセキュリティ面での課題は甚大です。
課題
結果を出すには、すべてを綿密に調整する必要があった
NiCEが以前使用していたツールはBlack Duckでした。このツールから結果を得るには、スキャンを調整し、結果が表示されるまでパイプラインを通じてすべての処理を実行する必要がありました。NiCEのような規模の組織にとって、ツール移行のためにこれらすべてを再調整することは事実上不可能に近いものでした。これが、多くの企業がもはや適合しなくなったツールを使い続けている理由です。
その差が最も顕著に表れたのは、ゼロデイ攻撃の際だった
そのコストが最もはっきりと表れたのは、新しい脆弱性 が公開されたときでした。各グループを従来のツールに登録するには時間と手作業が必要だったため、チームはどのグループが対象となっているのかさえ、すぐには確認できませんでした。買収が行われるたびに、全体像を把握することがますます困難になっていったのです。
NiCEが選んだ理由 Aikido
救済ではなく、先手を打った切り替え
これは「救済」というものではなかった。NiCEはBlack Duckに不満を抱いていたわけではない。契約期間が終了し、チームはAI開発へと軸足を移しつつあったため、3年間同じツールを使い続けてきた後、他にどのような選択肢があるかを確認することにしたのだ。
「契約期間が終了しようとしていたし、今ならもっと新しく、より良いものが世に出ているだろうと思った。そこで、いろいろ探してみた。」
チームが信頼できる調査結果
概念実証（PoC）において、チームは、クラウドベースのリポジトリ1つとオンプレミスのリポジトリ1つという実環境のリポジトリに関する調査結果を比較し、 Aikidoの精度が、彼らが使用していたツールよりも高いと評価した。マルウェアは他の項目と混在することなく独自のビューに表示され、サポート終了コンポーネントも明確にフラグが立てられるが、これらはいずれも以前のツールではうまく機能していなかった点である。
迅速に動いたプロダクトチーム
その製品を手掛けたチームは、製品そのものと同じくらい際立っていた。
「チームそのものに驚かされました。連絡窓口を開設したところ、問題が見つかった際にはすぐに認識され、迅速に修正されました。これはまさに別次元の対応です。」
リポジトリに直接接続する
Aikido GitHub、GitLab、Azure DevOps上のソースリポジトリに直接接続し、スキャンが即座に開始されます。この変更こそが、NiCEの規模でもこのツールを実用可能なものにした要因です。なぜなら、切り替えを不可能に感じさせていたオーケストレーション作業が不要になったからです。
依存関係 は実際のプロジェクトファイルから読み込まれるため、チームはどの発見事項についても、それがどこから得られたものかを正確に特定することができます。マタンは、結果に疑問を抱いた開発者への回答について次のように述べています。
「『ライブラリを使っていないんじゃないか』と言う人がいます。私はリポジトリを開き、『リーチアビリティ』をクリックすると、GitHub上のそのファイルが正確に表示されます。そこで『いいえ、ここ、あなたのリポジトリにあります。他のどこからも来ていません』と伝えることができます。」
コンテナについても同様の処理が行われます。NiCEでは、コンテナの大部分をAWSのECR上で実行しており、それらをソースリポジトリにリンクさせることで、コンテナ内の問題が実際にどこにあるのかを容易に特定できるようになります。以前のツールでは、ベースイメージと各チーム独自のイメージが一緒にスキャンされ、混在していたため、チームはどの問題を修正すべきか判別できませんでした。リポジトリに接続することで、この2つを分離することができました。
自ら登録を行う開発者
オンボーディングも同様の流れで行われます。開発者は既存のソース管理アカウントでログインし、自分のリポジトリを確認し、誰かの許可を待つことなく、自分でイシューを処理できます。NiCEの従業員数規模を考えると、こうした依存関係をなくすことは重要でした。
チームが具体的な行動に移せる、より明確な調査結果
概念実証（PoC）で実証された精度が、日常業務にも活かされています。検出結果は実際のファイルやバージョンと紐付けられているため、判断に迷うことが少なく、重要度が低くリスクの低い検出結果は自動的に無視されるため、チームは重要な業務に集中し続けることができます。
ゼロデイ攻撃に数秒で対応する
最も顕著な変化は、新しい脆弱性 がリリースされた際に現れます。チームは、 Aikido その上にAIエージェントを構築し、これが環境全体を検索し、連携されたソース管理システムにアクセスして、すぐに使えるレポートを生成します。
「ゼロデイ攻撃が発生した際、数秒で全ワークスペースを検索し、どこが攻撃にさらされているのか、あるいはそもそもさらされているのかどうかを正確に把握できます。以前は、そのような可視性はありませんでした。」
その自信は買収案件にも及んでいます。従来のツールでは、新しいグループが対象範囲に含まれているかどうかを確認できなかったのに対し、現在は手動でのフォローアップを必要とせずに、対象範囲が確実にカバーされるようになりました。
NiCEの今後の展開
NiCEは、 Aikido ソフトウェア構成分析、コンテナスキャン、ライセンススキャン、マルウェアおよびサポート終了の検出、到達可能性分析、AutoTriage、ならびにAPI およびMCPサーバーを介したアクセスに活用されており、各製品はそれぞれの分野で確固たる地位を築いています。
ここから見て最も明確な方向性は、AIを活用した業務です。チームは、すべての開発者が Aikido MCPサーバーに接続できるようにしたいと考えています。これにより、コードは作成と同時にチェックされ、組織全体で Aikido API 組織全体に報告できるよう構築しています。クラウドポスチャー管理、EPSSスコアリング、SLA追跡、およびデバイス保護については現在評価中です。
最終的な評価
マタンが他の大企業に向けて送るアドバイスは、率直なものだ。
「従来のツールを使っているのであれば、機会があればぜひ周囲の状況をよく見て、きちんと比較してみてください。その結果に驚くかもしれません。」
NiCEへの影響を要約するよう求められた際、彼はそのツールが当初目指していた目的に絞って説明した。
「これにより、AI開発のワークフローのセキュリティが大幅に向上し、製品全体のセキュリティ体制も強化されました。」
