この生成AI時代において、ソフトウェアリスク管理に対する企業のアプローチには目覚ましい転換が見られます。ソフトウェアエンジニアリングチームはAIコーディングアシスタントの導入を急速に進めています。その一方で、法務およびリスク管理チームは自社開発コードにオープンソースライブラリの断片が埋め込まれるのを懸念しています。企業はどのように法的コンプライアンスとデベロッパーエクスペリエンス(開発者体験：DevEX)のバランスを取ることができるでしょうか？
オープンソースソフトウェア(OSS)のスニペット検出機能を備えたソフトウェア構成解析ソリューションがその答えとなります。しかし、検出方法やワークフローはソリューションによって大きく異なり、最適なソリューションを探し出して選択するのを困難にしています。
はじめに
現実に向かい合いましょう。現在の開発は流れが速く、モジュール化され、オープンソースへの依存がますます高くなっています。この記事を読んでいる方にとっては、改めて言われるまでもないことでしょう。開発しているのがモバイルアプリであれ、組み込みソフトウェアであれ、クラウドネイティブなインフラであれ、インフォテイメントシステムであれ、おそらくは大量のコードを再利用しているでしょうし、そのソースは信頼されたパッケージ、コミュニティプロジェクト、さらにはStack Overflowからのコピーペースト、そして最近ではAIコーディングアシスタントなどがあるでしょう。
しかし、このようなスピードと再利用には、見えにくいリスクがつきまといます。取り込もうとしているコードにすでにセキュリティ脆弱性があった場合はどうでしょうか？さらに悪いことには、依存関係解析ツールでそのような再利用されたコードを見つけられない場合はどうなるでしょうか？
これはベーシックなソフトウェア構成解析ツール(SCA)では取り残されている死角です。ほとんどのツールは、パッケージ宣言および依存関係ツリーを調べ、既知の脆弱性を含むライブラリの情報に基づいてリスクを警告します。しかし、ソースコードに直接埋め込まれた脆弱性や、パッケージマネージャーの外で製品にコピーされたスニペットは捉えられません。FossIDでは、このような例をアンマネージドオープンソースと呼んでいます。
ここでFossIDのVulnSnippet Finderが登場し、情勢を変化させます(実際のところ、一変させたと言ってもよいほどですが、これは余談です)。FossIDは、単にスキャンで既知のパッケージを検出し、CVEがあるものを指摘するだけではありません。実際のコードベースを深く検査し、既知の脆弱性が実際に存在するコード行に一致するスニペットを検出するため、誤検出がありません。
この技術がアプリケーションセキュリティ戦略にもたらす実用的な価値について詳しく説明しましょう。
宣言を超えるセキュリティの洞察: 実際にコード内に存在するものを発見する
まず、可視性について説明します。基本的なSCAツールは主に宣言された依存関係、たとえば package.json、requirements.txt、pom.xmlなどに依存しています。これらのファイルも有用ですが、オープンソース利用の一部しか捉えられません。開発者はカスタマイズ、パフォーマンス、利便性などの目的でソースファイルに直接コードをコピーすることがよくあります。いったんコピーされたコードはコンテキストから引き離され、それが後に問題を生みます。現状、AIコーディングアシスタントの導入に伴って、このようなケースは絶え間なく発生しています。
FossIDのVulnSnippet Finderは宣言以上のものを解析します。コードを解析し、既知のオープンソースコンポーネントおよび関連するCVE(Common Vulnerabilities and Exposures)の包括的なデータベースと照合するとともに、脆弱性の原因となる行そのもののデータベースと照合します。
これにより、以下が可能になります。
- 依存関係ツリーには表れない深く埋め込まれた脆弱性を指摘します。
- コード断片の本当の出所と、過去にどんなセキュリティ上の問題があったかを把握します。
- 運用環境や顧客へのリリースに入り込む前の早期にリスクを軽減します。
把握されていない露出がたちまち脆弱性の悪用にエスカレートするセキュリティの世界では、このようなレベルの洞察の価値は計り知れません。単なる警告や通知以上のもの、つまり既存のオープンソース資産がリスクプロファイルにどのような影響を与えるかについての明確な見通しを持つことができます。
シフトレフトの加速: 開発と同時に始まるセキュリティ
脆弱性をより早期に発見し、より正確に脆弱性の場所を特定できれば、修正がより容易になりコストを抑えられます。現在のAppSecにおけるシフトレフト哲学の中心にあるのは、そのような考え方です。FossIDは、開発者やセキュリティチームが開発ライフサイクルの早期に脆弱性のあるスニペットを識別できるよう支援し、何週間も後の監査やリリース後の非常事態に備えたテストで脆弱性が発見されるのを防ぎます。CI/CDワークフローや開発者の環境に直接統合されたVulnSnippet Finderは、問題がリリースに入り込む前に発見することを可能にします。
結果として、次のように効率が大幅に向上します。
- 発見が遅れることでコストの高い手戻りが発生するのを防ぎます。
- コンテキスト内でリスクを解決できるため、開発が加速します。
- セキュリティが事後対処的なボトルネックではなく、予防的なイネーブラー(実現を後押しするもの)になります。
FossIDはシフトレフトを現実的な目標にします。開発者は、自分の利用するコードは検査を受け、隠れたリスクがないとわかっているため、優れたコードを作成するのに集中できます…
AI生成コードシリーズ Tips集のご案内
続きは こちらから 資料のダウンロードをお願いします。
このシリーズ記事では、AI生成コードの活用とその課題からトピックスを読み解いて、開発チームの邪魔をすることなく法務およびコンプライアンスチームを満足させるソリューションを選択するためのガイドを提供します。
