Figma、セキュリティ調査にAIエージェント活用し処理速度70%向上

ソフトウェア企業フィグマのエンジニアリングチームは、セキュリティチームがアラート調査や過去のインシデント検索、社内システム確認、さらにはコード修正の準備を支援するために AI エージェントを構築した経緯について最近公開しました。これらのエージェントは過去の調査事例から学習し、反復作業を削減するだけでなく、複雑なアラートの解決時間を約 70% 短縮しています。ただし、最終的なレビューと厳格な統制は依然として人間が担当します。

このチームが開発したセキュリティシステムは、Panther SIEM を基盤としており、AWS、Okta、GitHub、GCP におけるアラート調査と監査ログのチェックを行います。また、SQL を用いてコンピュータ上のセキュリティやシステム情報を照会できるオープンソースツールの osquery も統合されています。このシステムはさらに 100 以上の他の情報源からもデータを取得し、プルリクエスト（PR）の作成も可能です。

著者らは、これにより複雑なアラートの解決時間が約 70% 短縮され、一部のアラートが軽微化されたことでオンコールの呼び出しが 20% 減少したと報告しています。フィグマ元セキュリティエンジニアで現在は Nition に所属する Matthew Sullivan と、フィグマのセキュリティエンジニアリングマネージャーである Brad Girardeau は次のように述べています。

アラートトリアージエージェント（Claude Opus などのモデルを使用）は、調査の大部分が行われる場所です。このエージェントには、Slack スレッドの履歴全体がコンテキストとして提供され、独自のステアリングメモリ（後述）と、セキュリティオンコールエンジニアがトリアージ時に通常必要とするツールセットが付与されます。

記事によると、このエージェントシステムは AWS Bedrock Knowledge Bases、Amazon Kendra、Tines、および Snowflake ベースのツールを活用して、過去のアラートを検索し Panther データを調査します。Sullivan 氏と Girardeau 氏は次のように述べています。

メモリこそが、時間の経過とともにシステムの有用性を高める上で最も大きな影響を与えた要素でした。私たちは複数の種類のメモリを持っており、それらを分離して管理することが重要であることがわかりました。

過去のアラート、行動指針、学習されたデータベース構造という 3 つの種類のメモリが、システムによる調査の改善に寄与します。安全性制御はツール自体に組み込まれており、エージェントが作成するプルリクエストはデフォルトでドラフト状態となり、プロンプトには機密データが公開 Slack チャンネルに共有されないよう設計されています。

別の記事「AI エージェントで脆弱性対策を先取りする Figma」では、エンジニアリングチームが AI エージェントによって 100 件以上の未発見の脆弱性を特定し、そのうち 2 つは従来のツールでは見逃されていた重大な欠陥であったと報告しています。また、コードレビュー機能は導入から 1 ヶ月で精度を 80% に引き上げました。

システムは第 2 のレビュー工程を導入することで既知のバグ検出率を約 30% 向上させ、自動ガイダンスを追加した結果、特定のコーディングエラーが約 50% 減少したことも報告されています。著者らはこれらの改善を実現するための具体的な手順を説明していますが、同時に以下の警告も述べています。

私たちが「具体的に何をすべきか」をお伝えすることはできません。それは貴社の規模や直面するリスク、すでに運用しているフィードバックループに依存するためです。ただし、一つの重要な教訓があります。まずは「精度（precision）」を高めるべきだということです。この順序は直感に反するように思えるかもしれません。なぜなら、過去に存在したバグデータだけでは「再現率（recall）」しか測れず、最初に改善すべき「精度」の向上にはほとんど役立たないからです。

セキュリティチームが AI エージェントに与える責任が増す中、人間の承認の役割については依然として議論が続いています。クラウドセキュリティ企業の Wiz は最近、「GhostApproval: A Trust Boundary Gap in AI Coding Assistants」というブログ記事で、6 つの AI コードアシスタントが悪意のあるリポジトリによって欺かれ、ユーザーには無害に見える承認プロンプトを表示するケースがあることを報告しました。また、InfoQ では OpenAI の沙箱からの脱出に関する開示についても取り上げられています。

Figma は既存の AI エージェントが完璧ではないことを認めていますが、人間も同様だと指摘しています。その結論として、両者のどちらかを選ぶのではなく、自動化と人間の監視の適切なバランスはまだ進化途上にあるとしています。

著者について

Renato Losio

Renato はクラウドアーキテクト、アドバイザー、およびクラウドサービススペシャリストとしての豊富な経験を持っています。現在はベルリンに住み、リモートでシニアクラウドアーキテクトとして活動しています。彼の主な関心領域はクラウドサービスとリレーショナルデータベースです。InfoQ の編集者であり、AWS Data Hero としても認められています。LinkedIn でつながることができます。

もっと見る | 表示しない