#devsecops のAIニュース

企業向けシークレットスキャンの公開監視機能

GitHub は、GitHub Secret Protection を持つ企業に対し、シークレット漏洩を即座に検知する「公開監視」機能を無償で公開プレビューとして提供開始した。

Vercel セキュリティダッシュボードがプライベートベータ版として公開

Vercel が、アカウントやプロジェクト全体のセキュリティ状況を一元管理する「セキュリティダッシュボード」をプライベートベータ版として提供開始した。チーム拡大やコードエージェント利用による設定ミスを防ぐため、2FA 未設定や長期認証情報の問題などを検知する機能を含む。

オープンソース依存関係のコンプライアンス維持における GitHub の取り組み

GitHub は、プラットフォームや内部アプリケーションで使用するオープンソースプロジェクトのライセンスを尊重し、責任ある利用を徹底するため、Open Source Program Office が具体的な管理手法を実践している。

オープンソースライセンスコンプライアンスがパブリックプレビューに

GitHub が、企業向けに依存関係のライセンスを大規模管理する機能を公開し、ルールベースのチェックで非準拠パッケージを本番環境への展開前にブロックできるようになった。

クローズドされたセキュリティアラートに関する今後のクラウドデータ保持ポリシー

GitHub は2026年8月25日から、クローズドされたDependabotセキュリティアラートのデータ保持方針を導入し、データのアクセス期間と保管場所を明確化する。この方針はgithub.comおよびGitHub Enterprise Cloudに適用され、Enterprise Serverには適用されない。

アドバイザリデータベースの内部と脆弱性情報量が記録を更新した際の対応

GitHub は 2026 年 5 月、過去最高の 1,560 件のレビュー済みアドバイザリを公開したが、依然として処理が追いつかない状況にある。同社はプライベート報告や CVE リクエストの増加により脆弱性エコシステムが根本的に変化したと分析している。

現代のDevSecOpsにおける最適な自動化セキュリティテストツール

Verizonが発表した2025年のデータ侵害調査報告書によると、脆弱性の悪用による侵害が前年比34%増の20%を占め、手動レビューでは対応できないペースでコードが作成・デプロイされる現代において、自動化テストツールが重要な役割を果たしている。

信頼できないトリガーに対する GitHub Actions キャッシュの読み取り専用化

GitHub が、リポジトリへの書き込み権限なしでトリガー可能なワークフローイベントに対し、デフォルトブランチのキャッシュトークンを読み取り専用に切り替えた。これにより、外部コードによるキャッシュ汚染を防ぎ、権限昇格リスクを低減する。

AI開発時代の多層防御を設計する〜AWSアクセスキーにまつわる怖い話〜

npm、高影響力アカウント向けの予防的保護機能を追加

npm は、レジストリ上で最も広く使用されるパッケージを管理する高影響力アカウントにおいて、メール変更や2FA回復コードの使用を検知した場合、72 時間の読み取り専用状態に設定し、前メールアドレスへアラートを通知することで、アカウント乗っ取り攻撃を防ぐ予防的保護機能を導入した。

インシデント対応のためのセルフサービス資格情報取り消し機能の追加

GitHub は、侵害されたアカウントや盗まれた資格情報への迅速な対応のため、GitHub Enterprise の管理者が特定のユーザーのすべての資格情報を即座に取り消す「ブレイクグラス」機能を新設した。

Secret スキャンに Replicate シークレットの拡張メタデータが追加されました

GitHub が Secret スキャン機能を更新し、Replicate の API トークン漏洩を検知した際に、より詳細なコンテキスト情報を付与するようになりました。これにより、セキュリティチームは漏洩した機密情報の特定と対応を迅速に行えるようになります。

REST API を通じてコード品質の発見事項を取得可能に

GitHub が公開プレビューとして、リポジトリレベルのコード品質発見事項（CodeQL）を取得・一覧表示する REST API 2 つの新エンドポイントをリリースした。

GitHub ホストレジストリへの自動 Dependabot アクセス機能の追加

GitHub が、Dependabot にプライベートパッケージレジストリからの読み取り権限を付与する機能をリリースした。これにより、個人用アクセストークンなしで、リポジトリが管理アクションアクセスを通じて許可されたパッケージから依存関係を更新できるようになる。

GitHub Actions の checkout における pull_request_target イベントのデフォルト設定をより安全に

GitHub が、フォークされたプルリクエストから未レビューのコードをチェックアウトする際に権限が不正に利用される「pwn request」と呼ばれる脆弱性に対処するため、pull_request_target イベントの checkout デフォルト設定を強化した。

GitHub Actions ワークフローのトリガーを制御する機能を公開プレビューへ

GitHub が企業向けに、ワークフロー実行保護機能を公開プレビューとして提供開始。管理者が誰がトリガーできるか、どのイベントを実行可能かを許可リストで定義し、セキュリティを強化した。

シークレットスキャン更新 - 2026 年 6 月版

GitHub は 2026 年 6 月のアップデートで、Cloudsmith や Meraki など新たなパートナーを追加し、GitLab トークンや Elastic、Slack などの検出範囲を拡大しました。これにより、デフォルトでプッシュ保護されるパターンが増え、漏洩したシークレットのメタデータも強化されています。

GitHub コード品質機能の組織レベルでの有効化が可能に

GitHub が、組織管理者に対して全リポジトリでコード品質機能をワンクリックで有効・無効にする新機能を導入した。これにより、個別設定の手間が省けるようになった。

シークレットスキャンの信頼性向上：大規模な誤検知の削減

GitHub は、開発者が本番環境でのセキュリティインシデントを防ぐために重要な役割を果たすシークレットスキャンにおいて、誤検知が多発してアラートが信頼されなくなる問題を解決するため、大規模なシステムで誤検知を削減する取り組みを発表した。

DevOps における自律型 AI のデータ損失：効率的な防御の構築

ソフトウェア開発を加速させる自律型 AI エージェントが、ミスを大惨事に変える速度を縮め、セキュリティ戦略に危険な盲点を生み出している。内部ツールの誤作動による被害拡大が懸念されている。

非アクティブなリポジトリの定期コードスキャン機能

GitHub が、6 ヶ月以上更新がないリポジトリに対して、30 日ごとに自動的にセキュリティスキャンを実行する機能を追加した。これにより、開発が終了したコードベースを含む全リポジトリで継続的なセキュリティカバレッジを維持できる。

スキル.sh API の提供開始

Vercel が、オープンソースエコシステムから 60 万種以上のスキル情報を検索・取得できる「skills.sh API」を正式に公開した。プロジェクトごとの OIDC トークンによる認証で利用可能となる。

Vercel Blob が OIDC 認証をサポートし、新規プロジェクト接続時のデフォルト設定に

Vercel は Vercel Blob の新機能として OIDC 認証のサポートを開始しました。これにより、新しいプロジェクト接続時に OIDC がデフォルトとなり、短期間で自動回転するトークンが利用可能になります。その結果、従来の長期有効な BLOB_READ_WRITE_TOKEN を不要とし、セキュリティを強化します。

GitHub Advanced Security にハード予算制限が追加されました

GitHub が Enterprise 管理者向けに、Advanced Security のライセンス使用料を強制的に上限まで抑える機能を提供し、過剰な支出を防ぐようになりました。

CodeQL 2.25.5 が GitHub Actions のクエリ精度を向上

GitHub はセキュリティ分析エンジン「CodeQL」のバージョン 2.25.5 をリリースし、C/C++ や Java/Kotlin、そして GitHub Actions に関するクエリの精度を改善しました。特に新機能として、パス注入の読み取りを検出する新しいシンク種別が追加されました。

シークレットスキャン承認リクエストのソート順とバイパスステータスによるフィルタリング機能の追加

GitHub は、デレゲートワークフローにおけるシークレットスキャンの承認リクエスト管理を改善し、UI での昇降順選択と REST API へのバイパス状態フィルタ機能を導入した。

Bumblebee がオープンソース化（1 分読了）

AI ツール「Bumblebee」がオープンソースプロジェクトとして公開された。開発者はコードを GitHub で一般公開し、コミュニティによる貢献や利用を呼びかけている。

npm の段階的公開機能とインストール時の制御オプションが利用可能に

npm はバージョン 11.15.0 で、サプライチェーンセキュリティを強化する新機能をリリースした。具体的には、パッケージの公開を段階的に実施できる「段階的公開」機能が一般提供され、ファイルやリモートソースからのインストールを制御する新しいフラグが追加された。

GitHub の内部リポジトリへの不正アクセス調査

GitHub は 5 月 18 日、従業員端末が第三者製の悪意ある VS Code 拡張機能によって侵害されたことを検知し、該当拡張機能を削除して対応を開始した。現時点では GitHub 内部のリポジトリからのデータ流出のみが確認されており、攻撃者が主張する約 3,800 リポジトリの流出は調査と整合している。

Dependabot とコードスキャンの OIDC サポート拡大

GitHub が、組織レベルで設定されたプライベートレジストリ（Cloudsmith および Google Artifact Registry）に対して、OpenID Connect 認証をサポートする機能を拡張しました。これにより、組織管理者はクラウド ID プロバイダーから動的に短期有効な認証情報を取得できるようになります。

リスク評価から GitHub Advanced Security のトライアルを開始可能に

GitHub は、適格な企業管理者が Secret Protection や Code Security のリスク評価画面から直接、Advanced Security のトライアルを開始できる機能を追加した。これにより製品評価を迅速化し、対象外の場合は担当者と連絡する選択肢も提供している。

保護されたソースマップ：ブラウザ用ソースマップを安全に公開

Vercel は「Protected Source Maps」機能を導入し、プロダクション環境の .map ファイルを認証ゲートで保護した。これによりチーム内のみがデバッグ情報を取得可能になり、外部からのアクセスは拒否される。既存プロジェクトでも設定から有効化できる。

GitHub Enterprise Server 3.21 リリース候補版が利用可能に

GitHub が提供するエンタープライズ向けサーバーソフトウェア「GitHub Enterprise Server」のバージョン 3.21 のリリース候補版が公開されました。この新バージョンでは、組織へのメタデータ付与機能やプロジェクト階層表示機能が一般提供され、デプロイ効率やコードセキュリティが強化されています。

デプロイ保護のための信頼できるソース機能

Vercel は、保護されたデプロイメントが OIDC トークンを受け入れる「Trusted Sources」機能を導入し、自動化シークレットの共有不要化を実現した。

CLI で管理可能な Vercel ファイアウォール機能の追加

Vercel は、コマンドラインインターフェース（CLI）を通じてファイアウォールの設定を直接管理できる機能をリリースした。これにより、カスタムルールの作成や IP ブロック、攻撃モードの切り替えが可能となり、エージェントによる安全なルール展開も支援する。

企業内別組織の内部リポジトリに対する Dependabot アクセス機能の追加

GitHub が、同一エンタープライズ内の異なる組織に存在する内部リポジトリへの依存関係管理を可能にする機能を強化し、企業のセキュリティポリシーからアクセス権限を設定できるようにした。

リポジトリセキュリティアドバイザリの検索・フィルタ機能追加

GitHub がリポジトリのセキュリティタブに新検索バーとフィルタ機能を導入し、開発者がキーワードやパッケージ種別で脆弱性情報を素早く特定できるようになった。これにより、スクロール時間を削減し、重要な対応に集中できる環境が整った。

GitHub MCP サーバーによるシークレットスキャンが一般提供開始

GitHub は、MCP 対応の AI コーディングエージェントや IDE で利用可能な「シークレットスキャン」機能を一般提供開始した。これにより、コミット前やプルリクエスト作成前にコード内の機密情報が漏洩していないか検出でき、レポジトリへの誤登録を防ぐことができる。

GitHub MCP サーバーによる依存関係スキャンが公開プレビューへ

GitHub は、MCP サーバーの機能として依存関係のスキャンを強化し、コード記事中やプルリクエスト前に脆弱性を検出できる機能を公開プレビューで提供開始した。

Microsoft Defender for Cloud のコードからクラウドまでのリスク可視化機能が一般提供開始

マイクロソフトは、GitHub Advanced Security と連携し、コード・ビルド成果物・実行コンテキストを統合してセキュリティリスクを追跡・優先順位付けする機能を一般提供した。

Git Push パイプラインの保護：重大なリモートコード実行脆弱性への対応

Wiz の研究者が報告した GitHub 上の重大な脆弱性に対し、GitHub は2時間以内に修正を適用し、調査で悪用は確認されなかったと発表した。

CodeQLが「models-as-data」形式でサニタイザーとバリデーターをサポート

GitHubのCodeQLは、主要言語でサニタイザーとバリデーターを「models-as-data」形式で定義可能にした。これにより、ユーザーは汚染データ追跡をカスタマイズできる。

ルールインサイトダッシュボードと統一フィルターバー

GitHubがリポジトリのルール評価活動を視覚的に把握できる「ルールインサイトダッシュボード」を提供開始。ユーザーは成功・失敗・バイパスの推移や主要バイパス利用者を一目で確認できる。

CodeQL 2.25.2がKotlin 2.3.20サポートとその他の更新を追加

GitHubが静的解析エンジンCodeQL 2.25.2をリリースし、Kotlin 2.3.20のサポート追加、精度向上、複数言語のセキュリティ深刻度スコア調整を実施した。

AIエージェントでコードを保護するスタートアップGitar、900万ドル調達でステルス解除

スタートアップ企業Gitarは、AIエージェントを使用してコードのセキュリティを確保するサービスを提供し、900万ドルの資金調達を発表した。同社はAIで生成されたコードをAIでレビューする手法を採用している。