2026年6月1日に届いた Aikido の月次アップデート #47 を解説。AIコーディングでCI/CD頼みが崩れる中、開発者の端末を守り「誰が何を入れたか」まで可視化する Device Protection、AutoFix の AI Chat、Supabase 対応を、誰にでもわかりやすく紹介します。
Device Protection、AutoFix AI Chat、Supabase対応を解説
6月1日、Aikido から全ユーザーへ最新の更新情報が届きました。これは毎月の定例案内（マンスリーアップデート）です。今回（#47）の目玉を、開発者目線でかみ砕いて紹介します。
これまでの常識は「CI/CD パイプラインに門番を置けば守れる」でした。コードやパッケージは必ずパイプラインを通る——だからそこでチェックすれば安全、という前提です。
ところが、AI と対話しながら勢いよくコードを書いていく、いわゆる "バイブコーディング" が当たり前になって、この前提が崩れてきました。開発者は手元のPCで次々とパッケージを入れ、コードを動かします。AI エージェントが裏で勝手に依存パッケージをインストールすることもあります。つまり、危険なものがパイプラインに乗る前に、開発者のマシンの中で動いてしまう。「1つの関所だけ守ればいい」時代ではなくなったのです。
ここで効くのが Device Protection です。開発者のPCに入れておく見張り役（エージェント）で、npm install や pip install をしたその瞬間に「これは危険なパッケージだ」と判断し、インストール自体をブロックします。対象は npm・PyPI・Maven・NuGet など広くカバー。あやしい IDE 拡張・ブラウザ拡張も止めます。
最近は npm / PyPI に悪意あるパッケージを混ぜる攻撃が急増していて、怖いのは install した瞬間に悪意あるコードが動いてしまうこと。リリースノートでも、直近の PyTorch Lightning（PyPI）汚染事件を「まさにこれを防ぐための機能」と紹介しています。
そして Device Protection の価値は、ブロックだけではありません。開発者チームの誰が、どの端末で、どのパッケージや IDE／ブラウザ拡張を入れようとしたかまで見える点も重要です。AI エージェントが裏で依存関係を追加する時代には、「危険なものを止める」だけでなく、「何が起きたかを後から追える」ことが大きな意味を持ちます。
パイプラインだけでなく、開発者の手元（エンドポイント）まで守り、しかもチーム全体で何が起きているかが見える——これが Device Protection が重要な理由です。
Aikido には、見つけた脆弱性を自動で直す PR を作ってくれる AutoFix という機能があります。便利なのですが、これまでは「なぜ危ないの?」「この直し方で合ってる?」と思っても、自分で調べるしかありませんでした。
今回、その AutoFix の画面の中に AI チャットが入りました。できることはシンプルです。
つまり、画面を離れずに「相談しながら直す」ができるようになった、ということです。
Supabase は、データベース・認証・ストレージ・API をまとめて用意してくれる便利なサービスで、特に小規模チームや AI で素早く作るアプリで人気です。ただ、手軽な反面、設定をきちんと締めないまま公開してしまい、情報漏えいにつながるケースが後を絶ちません。
今回の対応で、Aikido が Supabase 組織を読み取り専用で接続し、こうした"あぶない設定"を自動で見つけてくれるようになりました。具体的には——
接続は組織スラッグと読み取り専用トークンを登録するだけ。つなぐと 1〜2分で問題を洗い出し、その後も毎日チェックしてくれます。設定は時間とともに変わるので、"入れて終わり"ではなく継続的に見張れるのがポイントです。
.aikido ファイルを置くと、「うちはこう書く」というルールを AutoFix が読んで、それに沿った直し方をしてくれます。#47 のキーワードは「もっと手前で止める」と「その場で直す」。
AI コーディングでパイプライン頼みが効かなくなった今、Device Protection で攻撃を開発者の手元で止め、しかも何が起きたかを見える化する。AutoFix の AI Chat で修正のあと一歩をラクにする。Supabase 対応で作って公開したあとも見張り続ける。「開発者が手を止めずに、自然に安全になる」方向の進化です。
Aikido Community Japan
公開日: 2026/6/2
最終更新: 2026/6/2
セキュリティの最新情報をお届けします。