MythosやFableなど強力なAIが話題の今、「どのAIが正解か」と待つのはリスク。無料のAikido × 手元のAIを開発サイクルに組み込み、FP判定をAIに任せて本当に必要な箇所だけ直す。リポジトリ登録から始める実践的な進め方を共有します。
Mythos、Fable、Claude系の新しいモデル……強力なAIが次々と話題になっています。
「セキュリティもAIに任せる時代では？」 「どれがベストか、もう少し様子を見てから決めるべきか？」
そう迷っている人は多いはずです。
でも、待つこと自体がリスクです。
攻撃側は待ってくれません。向こうが強力なAIを使って攻撃してくる時代に、こちらが「どのツールが正解か」を見極めている間にも、脆弱性は残り続けます。
だったら答えはシンプルです。
「待つ」より「いま守る力をつける」。
その力とは、特別なものではありません。無料で始められるAikido × 手元のAIを、開発サイクルに組み込むことです。
この組み合わせを磨いておけば、相手がどれだけ強力なAIで来ても、かなり現実的な精度で守れます。今日はその「力のつけ方」を、最初の一歩から共有します。
なお今回は、AI Code・Export・ローカルスキャンといった有料機能を使わず、無料枠 + 画面（UI）+ 手元のAIだけでどこまでできるかを書きます。
よくある悩みが、「Aikidoのようなセキュリティツールを入れるべきか、それともClaudeやChatGPTに聞けば十分か」というものです。
結論は、どちらか一方ではなく、組み合わせる。
理由は、役割がまったく違うからです。
この役割分担が、今日の話の軸になります。
今回使うのは SAST・SCA・SBOM です。これらは無料枠でも始められます。
逆に、Export（レポート出力）・AI Code・ローカルスキャンは有料機能なので、今回は使いません。
つまり、レポートを出力しなくても、AI Codeを使わなくても、ローカルスキャンを使わなくても、画面の情報を手元のAIに渡すだけで、どこまで回せるかを試します。
無料枠には制限があります。リポジトリ数、ユーザー数、リスキャン頻度、AI AutoFixの回数などは変更される可能性があるため、最新条件は Aikido の pricing ページ で確認してください。
守る力をつける最初の一歩は、スキャンが回る状態を作ることです。
そのために、まずリポジトリをAikidoに登録します。一番楽なのは、GitHubにコードを置いて接続する方法です。これが無料で始める入口になります。
接続するときの注意点が2つあります。
まずは GitHub に上げて接続する。ここがスタートラインです。
ツールを入れただけでは何も変わりません。
重要なのは、スキャンが回り、結果が開発の流れに乗っている状態を作ることです。
リポジトリを接続して、SAST と SCA が回る状態にする。検出結果が出たら、次のトリアージに進みます。
ここが本題です。
AutoFix や手動対応に入る前に、まずFP判定をAIにやらせる。 これだけで、対応の効率が大きく変わります。
1. Aikidoが対象を絞り込む
スキャンが回ると、Critical / High などの検出結果が出ます。重要なのは、Aikidoがファイルの場所・行・該当パッケージまで特定してくれることです。つまり、「どこを見ればいいか」が最初からかなり絞られています。
Aikido自身も reachability などで、ある程度FPを減らしてくれます。ただし、reachability だけでは限界があります。FPはまだ残ります。
2. 対応の前に、残ったFPをAIで判定する
検出されたからといって、全部直すのは非効率です。まずは、残った指摘が本当に悪用可能なのか、それとも文脈上は問題にならないのかを見分けます。ここで手元のAIを使います。
3. AIが要求するソースコードを貼り付ける
Aikidoの画面に出ている検出内容をAIに渡すと、多くの場合、AIはこう言います。
「対象のソースコードを見せてください」
Aikidoが場所を特定しているので、そのファイルや該当箇所をコピーして貼り付けるだけです。そのコードだけで判断できなければ、AIはさらに、
などを要求してきます。その箇所も順に共有します。このやり取りを繰り返すことで、FPか実害かをかなり高い精度で判定できます。
4. FPなら ignore、実害なら対応
到達しない、悪用できない、文脈上リスクが成立しない。そう判断できるものは FP として ignore します。逆に、本当に危ないものだけを修正対象にします。
5. 結果：本当に必要な箇所だけ直せる
全件を機械的に直していた頃と比べると、手を動かす量が大きく減ります。つまり、対応スピードが上がります。
なお、Aikidoが指摘した中にもFPは含まれます。それでも、指摘がまったく無いよりは、はるかにいい。指摘されたものを一つずつ確認していくこと自体が、安全性を確実に高めてくれます。FPが混じること自体は、この運用の価値を損ないません。
SCAの指摘は、多くの場合、依存パッケージのバージョンアップで対応できます。
ただし、何も考えずに上げればよいわけではありません。確認すべきことは、たとえば次のような点です。
ここもAIに相談できます。Aikidoの画面で、該当パッケージ、バージョン、脆弱性情報、SBOM情報を確認し、それをAIに渡す。すると、AIは「単純に上げればよいもの」と「影響確認が必要なもの」を分ける手伝いをしてくれます。
ここは隠さず書きます。
検出結果の Critical / High / blank / unknown の区分は、そのままAIに共有した方がいいです。理由は、実際に使ってみると、Aikido側にも少し誤差があるからです。
とくに目立ったのが、SBOM のライセンスリスクです。 SBOM 上でライセンスが blank / unknown のまま表示されることがあり、これを「リスクなし」と早合点すると危険です。表示が空欄でも、実際には制約の強いライセンス（コピーレフト等）だった、というケースがあり得ます。ほかにも、重大度の揺れ、判定のブレ、データベース上の古い情報などが起きることがあります。
これを隠さずAIに渡すと、AIが両方向に補正してくれます。
「これは過大評価では？」 「逆に、unknown だが実は注意すべきでは？」 「このライセンスは SBOM 上は空欄だが、法的には重要では？」
というように、Aikidoの検出結果（SBOM・ライセンスリスクを含む）とAIの読みを突き合わせることで、どちらか単体より判断精度が上がります。
役割分担を整理すると分かりやすいです。
| 得意 | 苦手 | |
|---|---|---|
| Aikido | 広く・速く検出する。場所を特定する | 文脈判断、到達可能性、実害判断にはブレが出ることがある |
| AI（LLM） | コードの文脈を読んで、FP/実害を判定する | どこを見ればいいかを自力で絞るのは苦手 |
つまり、こういう関係です。
Aikidoが場所を絞る → AIが文脈で判定する。
お互いの弱点を、ちょうど補完し合います。だから「Aikidoか、AIか」ではなく、Aikido × AI が現実的な答えになります。
このやり方をやってみると、見えてくることがあります。
AIがやっていることは、突き詰めると大きく2つです。
もちろん、AIモデルによって読みの深さや説明力には差があります。ただし、セキュリティ対応の現場で本当に効くのは、その手前です。
最初にAikidoが、セキュリティの知見から「見るべき候補」を抽出していること。 ここが価値の源泉です。AIは、その候補を文脈で検証する役割を担います。
だから結論はこうなります。
AIを待つより、Aikidoでの絞り込み、つまり「守る力」をいま身につける。
有料の AI Code は、おそらく、もっと深くコードのロジックを追います。本来は、そちらの方が強い場面も多いはずです。
ただし、無料枠 + 手元のAIを組み合わせるだけでも、FP判定から修正方針の整理まではかなり効率化できます。
まず無料で開発サイクルに組み込んで回す。それで物足りなくなったら、有料機能を検討する。この順番が現実的です。
「どのAIセキュリティが正解か」で待つのは危険です。攻撃側は待ってくれません。
答えは「Aikidoか、AIか」ではなく、Aikido × AI です。
まずやるべきことは、リポジトリを登録してスキャンが回る状態を作ること。GitHub接続が一番楽な入口です。ローカルスキャンは有料なので、今回は使いません。
Aikidoは reachability などでFPを減らしてくれますが、それでもFPは残ります。そこから先は、手元のAIに検出結果とソースコードを見せながら、FPか実害かを判定していきます。FPなら ignore。本当に危ないものだけ直す。
SCAは基本的にバージョンアップが中心ですが、breaking change や到達可能性の確認にはAIが使えます。SBOMも画面で確認し、必要な情報をAIに共有すればよい。とくに**SBOMのライセンスリスク（blank / unknown）**は誤差が出やすいので、AIと突き合わせる価値があります。
Aikidoにも、AIにも、単体では限界があります。でも、Aikidoが対象を絞り、AIが文脈を読む。この組み合わせなら、無料枠でもかなり実用的なセキュリティ運用を始められます。
次回は、IDE / Aikido MCP で無料でどこまでできるかを試します。
Aikido Community Japan
公開日: 2026/6/23
最終更新: 2026/6/23
セキュリティの最新情報をお届けします。