コードベースの脆弱性発見を支援するセキュリティハネス「DeepSec」の公開

本日、コーディングエージェントによって駆動されるセキュリティハネス「deepsec」をオープンソース化しました。これは独自のインフラ上で動作し、大規模なコードベースから見つけにくい問題を表面化します。 深さの深いコードアクセスのためのクラウドサービスをセットアップする必要なく、あなたのラップトップで deepsec を実行できます。推論には、既存の Claude または Codex のサブスクリプションを追加設定なしで使用できます。 単一のマシンで大規模なリポジトリのスキャンを実行するには数日かかることがあります。並列に研究ジョブを実行するために、deepsec は Vercel Sandboxes へのリモート実行のためのオプションファンアウトをサポートしています。Vercel のコードベースにおけるスキャンは、通常 1,000 以上の同時サンドボックスまでスケールします。 アーキテクチャ depsec の核心では、Opus 4.7 を最大努力で、GPT 5.5 を xhigh レーシング（推論）で使用して、コードベースの tailored investigation（特化された調査）を実行するために claude と codex を使用します。 スキャンは、セキュリティに敏感なファイルを特定するための静的解析から始まり、その後コーディングエージェントが各候補を調査し、データフローを追跡し、緩和策を確認し、深刻度評価付きの実行可能な発見結果を生成します。以下がワークフローです： スキャン：まず、後続のステップで焦点を当てるセキュリティに敏感な領域に対して、すべてのファイルに対する regex のみによるスキャンを実行することから始まります。 調査：エージェントはスキャンで特定された各ファイルを調査します。 再検証：2 回目のエージェント実行により、調査結果を検証し、偽陽性を除去し、深刻度を再分類します。 Enrich: 調査が完了すると、エージェントは git メタデータやその他のオプションサービスを使用して、各課題の修正を担当した貢献者を特定します。 Export: エクスポートコマンドは、発見された事項を指示としてフォーマットし、人間やコーディングエージェントのためのチケットに変換できるようにします。 本番環境コードでの deepsec の実行 deepsec は、当社のモノレポおよび顧客のコードベースにおいて非常に有用でした。開発中、私たちは Vercel の顧客とパートナーが運営するいくつかのオープンソースリポジトリで deepsec を実行しました。 例えば、deepsec は dub.co のオープンソース版をスキャンしました。Dub は、リンク属性追跡プラットフォームであり、SaaS サービスとしても利用可能です。認証アクセス機能を備え、データベースと連携し、複数のバックエンドサービスを実行するため、大きなセキュリティ表面を提供しています。私たちが発見した deepsec の結果を創設者の Steven Tey 氏に共有した際、彼は以下のように返信しました。 Vercel 自身のモノレポに対して実行したところ、deepsec は認証条件における微妙なエッジケースを特定し、コード内のすべての認証パスをカバーするカスタムスキャナプラグインの開発へとつながりました。 偽陽性と最適な活用方法 deepsec の発見の中には偽陽性も含まれます。私たちの経験則では、偽陽性の発生率は概ね 10〜20% です。真の陽性（実際の脆弱性）が当社の研究に与える影響を考慮すると、この結果には満足しており、偽陽性を減らすためにエージェントが発見事項をさらに検証する再検証ステップを構築しました。 deepsec はアプリケーションやサービスに対して最も効果的に機能します。ライブラリやフレームワークでも使用可能かもしれませんが、それらにはカスタムプロンプトとスキャナーが必要となる可能性が高いです。 カスタマイズとプラグイン deepsec には、コードベースに適応させるためのプラグインシステムが搭載されています。最も一般的なプラグインはカスタムスキャナーで、認証モデル、データ層、またはチームの慣習に合わせて調整された正規表現マッチャーです。deepsec をコーディングエージェントと共に使用し、初期スキャンの結果に基づいてこれらのマッチャーを記述させることを推奨します。 特別な「サイバーモデル」へのアクセスは必要ですか？ Anthropic と OpenAI の両社が、ベースモデルでは受け付けないセキュリティタスクを受け入れるように微調整された、最も高性能なモデルの「サイバー」バージョンを提供しています。deepsec はこれらのモデルとも連携しますが、市販の標準モデルでも完全に機能します。 deepsec には、各調査ステップ後にタスクが拒否されたかどうかを確認する分類器が搭載されています。私たちの経験では、deepsec が使用するプロンプトにおいては、Opus 4.7 および GPT 5.5 の両方で拒否は問題にならないことが確認されています。 始め方 始めるには、リポジトリのルートで `npx deepsec init` を実行してください。これにより、システムの設定と deepsec による調査カタログを保存するための `.deepsec` というディレクトリが作成されます。その後、コマンドの出力に従ってください。詳細は Github の完全なドキュメントをご覧ください。 フィードバック歓迎 私たちは deepsec を徹底的に使用してきましたが、まだ開発初期段階にあります。GitHub でのフィードバックや貢献を歓迎します。 続きを読む

コードベースの脆弱性発見を支援するセキュリティハネス「DeepSec」の公開

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト