Sonatype、AI支援コード生成の安全性向上ガイドを発表

Sonatype Guide は、AI コーディングツールとオープンソースエコシステムの間に位置するリアルタイムのガードレールシステムであり、AI 生成コードが安全で有効かつ保守可能な依存関係を使用することを保証します。 Sonatype Guide には、MCP サーバー、強化された検索機能、Nexus One Platform API へのアクセスなど、一連の独自のツールが含まれています。 Sonatype の信頼できるデータを、最新の Model Context Protocol (MCP) 対応 IDE に拡張することで、Guide は開発者や AI ツールが最も最適で安全なオープンソースコンポーネントを選択できるよう支援し、依存関係管理を簡素化・最適化します。 MCP サーバーを使用することで、Guide は Copilot、Claude、Codex などの AI コーディングツールにセキュリティインテリジェンスを提供します。この MCP サーバーは、安全で信頼性の高いバージョンのみをフィルタリングしてリアルタイムのパッケージ推奨を行い、不安全なコードがリポジトリに到達しないように確保します。 Sonatype によると、強化された検索機能により、開発者は最も少ない労力で最大の効果を発揮する修正やアップグレードの選択肢について知らされます。Nexus One Platform API は、コンポーネントおよびリポジトリに関するセキュリティ情報への完全で制限なく、かつ後方互換性のあるアクセスを提供するエンタープライズグレードの API です。Infrastructure-as-Code ワークフローのために設計されており、この Nexus One Platform API は CI/CD パイプラインと統合してビルドプロセスの一部としてコンポーネントおよび脆弱性のチェックを自動化でき、またチャットボットや課題追跡ツールなどの開発者ツールに直接コンポーネントおよび脆弱性の照会を組み込むことも可能です。 Sonatype の CEO、Bhagwat Swaroop は、LLM（大規模言語モデル）をコード生成に活用する際の主な課題は、セキュリティデータの急速な陳腐化にあると説明しています。 AI コーディングアシスタントは、数ヶ月から数年も前の古い公開データをベースに訓練されていることが多く、その結果、脆弱性のある低品質なパッケージや、場合によっては存在しないパッケージを推奨してしまう可能性があります。これにより、再作業が発生し、トークンが浪費され、不要なリスクが導入されてしまいます。 実際、Sonatype の研究者らは、LLM が最大 27% の確率で「架空のパッケージ」を生成（ハルシネーション）することを発見しました。つまり、存在しない、古くなった、あるいは悪意のある依存関係を提案してしまうのです。これは開発チームに再作業を強いるだけでなく、納期を遅らせ、LLM トークンを浪費し、不要なセキュリティリスクをもたらします。 Sonatype によると、Guide を活用した企業では、セキュアなコード生成の効果が 3 倍に向上し、セキュリティ対策や依存関係のアップグレードにかかる総コストが 5 倍以上削減されたとのことです。 Sonatype Guide は、開発ワークフローとサプライチェーンを安全に保つために設計された AI 関連ツールの唯一のものではありません。依存関係および文脈セキュリティインテリジェンスのための Sonatype Guide の代替手段としては、Snyk、Mend、オープンソースの OWASP Dependency-Check などがあります。しかし、これらはいずれも、AI ベースのワークフローへの統合が可能な MCP サーバーを提供しているようには見えません。ただし、Snyk は実験的な MCP サーバーを提供しています。 著者について セルジオ・デ・シモーネ セルジオ・デ・シモーネはソフトウェアエンジニアです。セルジオは過去 25 年以上にわたり、シーメンスや HP、そして小規模なスタートアップなど、多様なプロジェクトや企業で、異なる作業環境においてソフトウェアエンジニアとして活動してきました。ここ 10 年以上は、モバイルプラットフォームおよび関連技術の開発に注力しています。現在では BigML, Inc. に勤務し、iOS および macOS の開発を率いています。 詳細を表示する表示しない

Sonatype、AI支援コード生成の安全性向上ガイドを発表

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト