GitHub、AI駆動の検出機能でアプリケーションセキュリティのカバレッジを拡大

AIはソフトウェア開発を加速させ、現代のリポジトリで使用される言語やフレームワークの範囲を拡大しています。セキュリティチームは、従来の静的解析でカバーされていた中核的なエンタープライズ言語だけでなく、多くのエコシステムにまたがって記述されたコードを保護する責任をますます負うようになっています。 そのためGitHubは、GitHub Code SecurityにAIを活用したセキュリティ検出機能を導入し、より多くの言語やフレームワークにわたるアプリケーションセキュリティのカバレッジを拡大します。これらの検出機能は、従来の静的解析のみではサポートが困難な領域で潜在的な脆弱性を発見することで、CodeQLを補完します。パブリックプレビューの提供は、第2四半期（Q2）の初頭を予定しています。 **静的解析とAIによるアプリケーションセキュリティカバレッジの拡大** 静的解析は、サポート対象言語における脆弱性を特定する効果的な方法であり続けているため、GitHub Code Securityは深い意味解析のためCodeQLに依存し続けています。しかし、現代のコードベースには、多くの追加エコシステムで構築されたスクリプト、インフラストラクチャ定義、アプリケーションコンポーネントが含まれることが少なくありません。 この現状に対処するため、GitHub Code Securityは、追加の言語やフレームワークに対してCodeQLとAIを活用したセキュリティ検出機能を組み合わせることでカバレッジを拡張します。このハイブリッド検出モデルにより、プルリクエストワークフロー内で開発者に直接、脆弱性と修正案を提示することが可能になります。 内部テストでは、このシステムは30日間で17万件以上の検知結果を処理し、開発者からのフィードバックの80%以上が肯定的なものでした。初期結果は、AIを活用した検出機能により新たにサポートされるエコシステム、具体的にはShell/Bash、Dockerfiles、Terraform設定（HCL）、PHPに対して、強力なカバレッジを示しています。 この機能は、開発者ワークフロー全体でセキュリティ、コード品質、コードレビュー体験を支える、GitHubのより広範なエージェント検出プラットフォームの一部です。拡張されたカバレッジとして始まるこの取り組みは、静的解析の精度と、開発の加速に伴い明らかになるより深い文脈や新たな脆弱性の知見とを組み合わせることで、時間とともに進化する検出機能の基盤を築きます。 **拡張されたセキュリティカバレッジをプルリクエストに統合** プルリクエストは、開発者がすでに変更をレビューし承認する場所であり、セキュリティリスクを早期に発見する最も効果的な場所です。プルリクエストが作成されると、GitHub Code Securityは、CodeQLによる静的解析かAIを活用したセキュリティ検出のいずれか、最も適切な検出アプローチを用いて変更を自動的に分析します。 結果は、他のコードスキャンの結果と同様にプルリクエスト内に直接表示され、安全でない文字列結合によるSQLクエリやコマンド、安全でない暗号化アルゴリズム、機密リソースを公開するインフラストラクチャ設定などのリスクを発見します。 セキュリティ検出をプルリクエストワークフローに統合することで、GitHubは開発者に既存のツールやプロセスから離れることを求めることなく、チームがより早く脆弱性を発見し修正することを支援します。 **Copilot Autofixで拡張検出をレビュー対応の修正へ** 脆弱性を早期に発見することは、課題の一部に過ぎません。セキュリティチームは、それらの問題が迅速かつ安全に修正されることも確実にする必要があります。 GitHub Code Securityは、Copilot Autofixを通じて検出と修復を結びつけます。これにより、開発者が通常のコードレビュープロセスの一環としてレビュー、テスト、適用できる修正案を提案できます。 開発者はすでにAutofixを大規模に使用しています。2025年には46万件以上のセキュリティアラートを修正し、Autofixなしの場合の平均解決時間1.29時間と比較して、平均0.66時間で解決に至りました。 拡張検出とCopilot Autofixを組み合わせることで、チームはリスクの発見から修正へと、より迅速に移行できます。 **マージ時点でのセキュリティ成果の強制** GitHubは開発ワークフローのマージポイントに位置しているため、セキュリティチームは、コードが出荷された後ではなく、レビューされ承認されるその場で、成果を強制することができます。検出、修復、ポリシー強制をプルリクエストに集約することで、GitHubは開発を遅延させることなくチームのリスク軽減を支援します。 RSACにおいて、GitHubはAIを活用したセキュリティ検出機能が、プルリクエスト内で直接アプリケーションセキュリティカバレッジをどのように拡大するかをプレビューします。このデモは、より広範な方向性を示すものです。すなわち、今日は拡張されたカバレッジから始まり、GitHubのエージェント検出プラットフォームの一部として、より深い、AIで拡張された静的解析へと進化していきます。ハイブリッド検出、開発者ネイティブな修復、プラットフォームガバナンスがどのように連携して現代のソフトウェア開発を保護するかをご覧になるには、RSACブース #2327のGitHubへお越しください。 この投稿「GitHub expands application security coverage with AI‑powered detections」は、The GitHub Blogに最初に公開されました。

GitHub、AI駆動の検出機能でアプリケーションセキュリティのカバレッジを拡大

背景や根拠まで確認しますか？

調べる

選ぶ

サイト