Safe Chain、BetterLeaks、Aikido Intel、Endpoint Protection 無料枠 — コードを1バイトも外に出さずに守れる「ルートA」。そして、GitHubに置くだけで、SCA / SAST / Secrets / CSPM / IaC / AI AutoFix までフル機能が無料で使える「ルートB」。ある開発者の金曜日を物語で辿りながら、無料で描ける理想の守りを、手順つきで全部見せます。
前回のシャドーAI記事で「次回予告」と書きました。
今日のテーマは、ただ一つ：
Aikidoは、無料でどこまでできるのか？
「セキュリティツール＝高い」という先入観を、一旦脇に置いてみてください。
無料の世界は、2つのルートに分かれます。
順番に見ていきます。
npm install の瞬間にマルウェアを止めるインストール（1行）：
curl -fsSL https://github.com/AikidoSec/safe-chain/releases/latest/download/install-safe-chain.sh | sh
できること：
npm install / pip install / yarn add / pnpm add / bun add / uv / poetry が、自動でマルウェアスキャン経由にGitHub Actions や CircleCI で npm ci を実行する時、そのパイプラインの中でもマルウェアチェックが走るという意味です。
開発者のマシンは守れても、CI のサーバーで npm ci して悪意あるパッケージが紛れ込めば、ビルド成果物やデプロイ先まで汚染されます。Safe Chain を CI に仕込んでおくと、パイプラインの中でも同じ防御が効く。
GitHub Actions の場合はこれだけ：
- name: Install safe-chain
run: curl -fsSL https://github.com/AikidoSec/safe-chain/releases/latest/download/install-safe-chain.sh | sh -s -- --ci
- name: Install dependencies
run: npm ci
以降は、いつも通り npm ci を書くだけ。Safe Chain が裏で検査して、マルウェアがあればビルドが失敗します。
限界：
→ 「各自のマシンで勝手に守る」ための道具。
使うには事前インストールが必要です。
# macOS (Homebrew)
brew install betterleaks/tap/betterleaks
# Linux / その他は GitHub Releases からバイナリDL
# https://github.com/betterleaks/betterleaks/releases
使い方：
# 現在のリポジトリを全履歴スキャン
betterleaks git .
# 特定ディレクトリだけスキャン
betterleaks directory ./src
できること：
限界：
→ 「棚卸しツール」。今リポジトリに何が埋まっているかの可視化。
Safe Chain と同じく、BetterLeaksも CI/CD に組み込めます。Docker イメージが公式に公開されているので、GitHub Actions で簡単に回せます：
name: Secret Scan
on: [push, pull_request]
jobs:
betterleaks:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
with:
fetch-depth: 0 # 全履歴スキャンのために必要
- name: Run Betterleaks
run: |
docker run --rm -v "${{ github.workspace }}:/repo" \
ghcr.io/betterleaks/betterleaks:latest \
git /repo --report-format sarif --report-path /repo/report.sarif
- name: Upload SARIF to GitHub Code Scanning
uses: github/codeql-action/upload-sarif@v3
with:
sarif_file: report.sarif
これでPR毎に全履歴をスキャンし、結果は GitHubの Security タブに SARIF で表示されます。リーク検出時は Exit Code 1 が返るので、パイプラインも失敗します。
さらにコミット前に止めたいなら、pre-commit hookも公式対応：
# .pre-commit-config.yaml
repos:
- repo: https://github.com/betterleaks/betterleaks
rev: v1.0.1
hooks:
- id: betterleaks
ローカルで pre-commit install するだけで、コミット時に毎回スキャンが走ります。
intel.aikido.dev は、リアルタイムで更新される脅威情報データベース。執筆時点の数字：
Aikidoの調査チームは1日10万件以上の不審プロジェクトを解析しています（昨年比5倍）。
使い方は3通り：
(1) 閲覧：ブラウザで開くだけ。今日のマルウェア、今週の攻撃傾向が見える
(2) Subscribe：フッターの購読フォームで登録。新しい脅威情報がメールで届く
(3) DB活用：
Aikido Intel is available under AGPL license, developers may freely use, modify, and distribute the vulnerability & malware feed.
AGPLライセンスなので、脅威フィードのデータを自分のツールに組み込める。社内のSBOMチェックツール、監視システム、自社CIに統合可能。
ただし：
前回記事で紹介した Endpoint Protection、npm / PyPI のマルウェア検知部分が無料で使えます。
| Safe Chain | Endpoint Protection（無料枠） | |
|---|---|---|
| 導入方法 | 各開発者が自分でインストール | MDM (Jamf/Kandji/Fleet) で一括配布可能 |
| 仕組み | CLIラッパー | デバイスレベルのLayer 4プロキシ |
| カバー範囲 | CLIで叩いた時だけ | デバイス上のすべてのインストール経路 |
| 管理画面 | なし | Aikidoダッシュボード（どの端末で何が入ったか一覧） |
| 対応（無料枠） | npm / pip / yarn / pnpm / uv / poetry | npm / PyPI |
Safe Chain は「CLIを叩いた時にブロック」。Endpoint Protection は「CLIでもGUIでも何でも、デバイス上のインストール通信をすべて監視」。
これで、どんなツールから npm install しても、Aikido Intelのマルウェアフィードでチェックされる状態になります。
ソースコードを外に出さない構成で、ここまでできます：
| 領域 | ツール |
|---|---|
| パッケージマルウェア（CLI） | Safe Chain |
| パッケージマルウェア（デバイス全体） | Endpoint Protection 無料枠 |
| シークレット棚卸し | BetterLeaks |
| 脅威情報 | Aikido Intel |
| CI/CDでのブロック | Safe Chain --ci |
サプライチェーン攻撃の入口は、これだけでかなり塞げます。
ここからが今日の記事の本題です。
「GitHub/GitLabにコードを置いて、Aikidoに接続してもいい」——この一歩を踏み出せる会社なら、無料でできる範囲が劇的に広がります。
Aikidoの無料プランで使える機能：
| 機能 | 内容 |
|---|---|
| SCA（依存関係スキャン） | CVE検知、Reachability解析、License検知、AutoFix、Breaking Changes、CI連携 — フル機能 |
| SAST & AI SAST | 静的コード解析、プロプライエタリルールセット、カスタムルール、AI ベースの AutoFix、AI ベース誤検知削減 |
| Secrets Detection | IDE / CI / Git でのシークレット検知、Liveness Detection（漏れたキーがまだ生きているか）、Pre-commit ブロック |
| Cloud（CSPM） | 設定ミスチェック、Container & VM スキャン、Cloud Asset Graph、IaCスキャン |
| License Risk | OSSライセンスリスク検知 |
| Outdated Software & IaC | EOLソフトウェア検知 |
| IDE Plugins | VS Code / JetBrains / Visual Studio 拡張 |
制限：
SCA + SAST + Secrets + CSPM + IaC + Container Scan + License + IDE連携。
これが全部無料。しかも：
月2回「しか」使えない、と思うかもしれません。でも、これが意外と使えるんです。
金曜の午後4時。来週月曜リリース予定の機能、コードは完成。テストも通った。
そこに Aikido から通知：
lodash@4.17.11に高リスクの脆弱性。修正版は4.17.21。
「いや、今週これ触りたくないんだけど……」
依存関係の更新って、面倒なんですよ。バージョン上げて、テスト走らせて、どこかが壊れたら追いかけて。セキュリティ対応は大事なのは分かってる。でも、今やりたいことじゃない。
結果、「来週やろう」と先送り。そのまま3ヶ月放置……というのが、よくあるパターンです。
Aikidoダッシュボードで「AutoFix」ボタンを押す。
あなたがやることは、PRをレビューしてマージするだけ。5分で終わります。
無料プランのAutoFixは月2回。圧倒的に少ない。でも、
こういう「腰が重い依存更新」に月2回使うと、1年で24個の脆弱性が自動で消える。
月100個の脆弱性を自動修正するのは無料では無理です。でも、「一番やりたくないやつ2個」を毎月自動修正。これ、想像より効きます。
フリーだから、1回1回、大事に使う。そういう感覚です。
Aikidoの無料機能を全部組み合わせた、理想の守りです。
🛡️ Safe Chain npm/pip/yarn のマルウェア検知（48時間ルール付き）
🔐 BetterLeaks コミット前のシークレット検知（pre-commit hook）
🛑 Endpoint Protection デバイス全体のインストール監視
📦 SCA 依存関係の脆弱性・ライセンス・EOL検知（Reachability付き）
🔍 SAST 静的コード解析（AI誤検知削減付き）
🔐 Secrets コードとGit履歴の機密検知（Liveness付き）
☁️ CSPM AWS/Azure/GCPの設定ミス検知（1アカウントまで）
🏗️ IaC Terraform/CloudFormationの検査
📋 SBOM ソフトウェア部品表の自動生成
⚡ AI AutoFix 脆弱性修正PRの自動生成（月2回）
💻 IDE Plugin コード書きながらリアルタイム警告
📡 Aikido Intel 最新マルウェア・脅威情報のSubscribe
📊 ダッシュボード 全端末の可視化（Endpoint Protection）
この全部が、無料です。
個人開発者なら十分すぎる。10名以下の小規模チームでも、これで守り切れるはずです。
最後に、ちょっと想像してみてください。
金曜日、9:00
田中さんは個人開発のSaaSを作っている。GitHubにコードを置いていて、先週から Aikido Developer プランにつないだばかり。
コーヒーを淹れながらVS Codeを立ち上げると、IDEプラグインが静かに光る。「axios@1.14.1、マルウェアの可能性。1.14.0 に戻すことを推奨」。package.json を戻してコミット。
10:30
新機能のための依存を追加しようと npm install some-new-lib を叩く。ターミナルに一言：
ℹ Safe-chain: Some package versions were suppressed due to minimum age requirement.
昨日公開されたばかりのバージョンだったらしい。48時間ルールが勝手に一段古い安定版に差し替えてくれた。気づかずに進める。
11:00
Git commit。pre-commit フックで BetterLeaks が走り、止まる。
Secret: password = "****Gv8G"
Description: Detected a Generic API Key
Commit aborted due to detected secrets.
テスト用にハードコードしていたAPIキーを忘れていた。環境変数に移して、再コミット。今度は通る。
13:00
Aikidoダッシュボードを開くと、新着アラートが1件。lodash@4.17.11 に高リスクの脆弱性。
「あー、これ更新めんどくさいやつだ……」と思いながら、AutoFixボタンを押す。5分後、Aikidoが自動生成したPRが届く。テストも通っている。レビューしてマージ。5分で終わった。今月1回目のAutoFix消費。来週のぶんは、また別の「一番やりたくないやつ」のために取っておく。
15:00
PRをpush。GitHub Actions が走る。Safe Chain がCIでの npm ci を守り、BetterLeaks が全履歴をスキャン。結果は GitHub の Security タブに自動で上がる。SCA / SAST / Secrets の継続スキャンも、Aikidoが3日に1回勝手に回してくれている。
17:30
Intel のメールが届く。「今週のnpmマルウェア傾向」。ざっと目を通して、週末の読み物にタブを開きっぱなしにする。
18:00
退勤。
田中さんは今日、1円も払っていません。
全部、無料で手に入る守りです。
アカウントを作ってGitHubを繋ぐ勇気と、Safe Chain を入れるターミナルの1行と、BetterLeaks を入れる brew コマンド。それだけで、この世界が手に入る。
「セキュリティは高い」は、もう昔の話。
田中さんと同じスタートラインに立つのに、5分かかりません。
# 1. Safe Chain
curl -fsSL https://github.com/AikidoSec/safe-chain/releases/latest/download/install-safe-chain.sh | sh
# 2. BetterLeaks
brew install betterleaks/tap/betterleaks
cd ~/your-project && betterleaks git .
# 3. Aikido Intel を Subscribe
# https://intel.aikido.dev をブラウザで開いて、フッターから購読
# 4. Aikido Developer プラン（GitHubに繋ぐだけ）
# https://app.aikido.dev でサインアップ → リポジトリ接続
# → SCA/SAST/Secrets/CSPM/IaC/IDEプラグイン、全部無料で動き出す
# 5. Endpoint Protection 無料枠
# ログイン後 "Endpoint Protection" からインストーラーをダウンロード
来週も、これで安心して過ごせるかな。
そんな金曜ライフ、ENJOYしたい。
関連記事：
参考：
公開後の検証で分かったことを補足します。
IDEプラグインの無料範囲は限定的でした。 無料で使えるのは VS Code / Cursor / Windsurf で、対象言語は JavaScript / TypeScript / Python のみ。JetBrains系IDEやPHPなどの他言語は有料プランの範囲です。本文の表に「JetBrains / Visual Studio」と書いていましたが、無料枠では使えません。お詫びして訂正します。
ただし、GitHub/GitLab接続のSASTは言語を問わず無料です。 IDEでリアルタイムに見られないだけで、リポジトリを接続すればPHPでもSASTスキャンは無料で回ります。「IDEは狭く、クラウドスキャンは広い」と覚えてください。
Endpoint Protection の無料枠は引き続き使えます。 npm / PyPI のマルウェア検知・ブロックと、ダッシュボードでの可視化は無料です。
もう一点、数字の訂正です。 本文の Endpoint Protection 欄で「無料は24時間」と書いていましたが、正しくは 48時間 です。新規公開パッケージを一段古い安定版へ差し替える猶予は、Safe Chain・Endpoint Protection とも無料枠で48時間が標準です(本文の Safe Chain 側は48時間と正しく記載しており、Endpoint Protection 側の記述が誤りでした)。お詫びして訂正します。
Aikido Community Japan
公開日: 2026/4/23
最終更新: 2026/4/23
セキュリティの最新情報をお届けします。