Aikido の IDE でどこまでできるか検証してみた

VS Code に Aikido を入れたら、何ができるのか。

実際に試してみたので、その記録を残します。本記事のゴールは、IDE のセキュリティ機能で具体的に何ができるのかを確かめること。Free プランでどこまで使えるかは、これから別途検証する予定です。

---

ステップ 1: ダッシュボードから VS Code 連携を選ぶ

まず Aikido のダッシュボードで Settings → Integrations → IDE Plugins を開きます。

VS Code、Cursor、Windsurf、Antigravity が並んでいるので、今回は Visual Studio Code の「Manage」をクリック。表示される手順に沿って進めると、Marketplace の拡張機能ページに案内されます。

---

ステップ 2: Aikido Security 拡張をインストール

VS Code の拡張機能マーケットプレイスで「aikido」と検索すると、3つ出てきます。

「Aikido Security」(発行元: Aikido Security、aikido.dev で所有権確認済み)を選んでインストールします。

その後、Aikido アカウントでログイン。Free アカウントで OK、クレジットカードは不要です。

拡張機能ページはこちら: Aikido Security – Visual Studio Marketplace

---

ステップ 3: ダッシュボードで初期状態を確認

Aikido のダッシュボードで Settings → Integrations → IDE Adoption を開くと、自分が VS Code を使っている記録が表示されます。

ここで気づいたのが、Safe Chain / Pre-Commit / MCP の3列にチェックマークがついていないこと。

つまり、VS Code 拡張をインストールしただけでは、これら3つの機能は有効になりません。それぞれ別途インストールする必要があります。

---

ステップ 4: コマンドパレットから Expansion Packs をインストール

インストール方法はシンプルです。VS Code でコマンドパレット(Cmd+Shift+P)を開いて、aikido と入力します。

Aikido 関連のコマンドが一覧で出てきます。実行するのはこの3つ + 1つ。

• Aikido: Install MCP Server
• Aikido: Install Safe Chain
• Aikido: Install Pre-Commit Hook
• Aikido: Automatically Setup MCP Rules

上から順番に実行するだけ。各コマンドを選ぶと、インストールが自動で走ります。

3つ実行してダッシュボードを見直すと、Safe Chain / Pre-Commit / MCP の3列すべてにチェックマークがつきました。

ここまでで体感5分くらいでした。

---

ステップ 5: 左サイドバーの Aikido アイコンでスキャン結果を見る

VS Code の左サイドバーに、Aikido のアイコンが追加されています。クリックすると、Aikido パネルが開きます。

主な表示項目はこちら。

• Current File Scan Results — 開いているファイルのスキャン結果(Secrets / Code Security / IaC)
• Open-Source Dependencies Scan Results — 依存ライブラリの脆弱性
• Getting Started — Aikido の使い方ガイド、Expansion Packs 設定、ログアウト

ここで気づいたのが、「Scan」ボタンが見当たらないこと。

明示的にスキャンを起動する必要はなく、ファイルを開いた瞬間・保存した瞬間に毎回自動でスキャンが走る仕組みです。手動でボタンを押す必要なし。

実際にプロジェクトを開くと、package-lock.json から30件の Issue が検出されました。

例えばこんな具合です。

• axios@0.21.0 Update to 0.31.0 — CVE-2025-62718(Critical)
• axios@0.21.0 Update to 0.30.0 — CVE-2025-27152
• axios@0.21.0 Update to 0.30.3 — CVE-2026-25639
• axios@0.21.0 Update to 0.21.1 — CVE-2020-28168

Critical の CVE-2025-62718 をクリックすると、右側に詳細パネルが表示されます。検知場所、推奨アクション(0.31.0 へ更新)、Summary、そして3つのボタン。

---

ステップ 6: AutoFix を実行

「Create AutoFix」をクリックすると、しばらく待って修正案が右側に表示されます。

axios を 0.21.0 から 0.31.0 に更新する Diff が見えました。package-lock.json で 301行の変更が入る、と表示されています。

修正案には2つのボタン。

• Keep Changes — 修正を反映
• Revert Changes — 元に戻す

Keep Changes を押すと、その場で package-lock.json が書き換わります。

そのあと再スキャンが走り、サイドバーの表示が変わります。

package-lock.json のエントリの横に **「15 issues solved」**と表示され、解決済みの脆弱性には緑のチェックマークが付きました。

✓ next@14.2.25  Update to 14.2.35 - GHSA-xxxx
✓ next@14.2.35  Update to 15.0.8  - GHSA-hxxx
✓ next@14.2.25  Update to 14.2.34 - GHSA-xxxx
⚠ next@15.5.13  Update to 15.5.15 - GHSA-xxxx

これ、地味に気持ちいい体験です。

⚠️ AutoFix の制限について
Free プランでは AutoFix の利用回数に上限がある可能性があります(検知自体は無制限のはず)。具体的な回数は実際に使い込んでみないと確認できないので、引き続き検証して別記事で報告します。

---

ステップ 7: Safe Chain(機能紹介)

Safe Chain は、npm install 時にマルウェア入りパッケージをブロックする機能です。

これは別記事 Aikido は無料でどこまでできるのか? で詳しく扱っているので、ここでは概要だけ。

デフォルトでは直近48時間以内に公開された新しいバージョンもブロック対象です。

サプライチェーン攻撃で「90分間だけ汚染されたバージョンが流通した」ような事件で効きます。汚染が発覚して取り下げられるまでの間、自分の手元に入らないようにする仕組みです。

---

ステップ 8: Pre-Commit Hook(機能紹介)

Pre-Commit Hook は、git commit を実行した瞬間に、コミットされる直前のコードをチェックしてシークレット漏洩をブロックする仕組みです。

意図的に API キーをハードコードしたファイルをコミットしようとすると、Pre-Commit が止めてくれるはずです(理論上はそう動く)。

一度 git に入ってしまうと履歴に永遠に残るので、入る前に止めるのが重要です。

---

ステップ 9: MCP ルールも自動セットアップ

Aikido MCP は、Cursor や Claude Code などの AI コーディングツールが新しいコードを生成したタイミングで、Aikido のスキャナーを呼ぶ仕組みです。

これを有効にするには、AI ツールに「いつスキャンを呼ぶか」を教えるルールファイルが必要なのですが、コマンドパレットから Aikido: Automatically Setup MCP Rules を実行すれば、このルールファイルを自動で配置してくれます。

配置されたファイルは .github/instructions/aikido_rules.instructions.md で、中身はこんな感じです。

---
applyTo: "**"
description: Aikido MCP Security Rules
---

# Project security best practices

- 新規・追加・変更されたコードに対して、必ず aikido_full_scan を実行する
- スキャナーには常にファイル全体を渡す
- 問題が検出されたら、Aikido の修正提案に従って直す
- 修正後、再度スキャンして問題が解消したか確認する
- 問題ゼロになるまで、修正と再スキャンを繰り返す
- MCP サーバーが起動していない場合は、ユーザーに通知する

つまり、AI が「コード書いた → スキャン → 問題あれば修正 → 再スキャン」のループを自動で回すように指示するルールです。

設定で、スキャンのタイミング(生成のたび、保存時、コミット前 など)を変更することもできます。

---

Free プランで使えるか? — これから検証します

ここで気になるのが、「これ、Free プランでも使えるの?」という点です。

結論から言うと、Free プランでの動作確認はまだ実施していません。今回試した環境は私の検証用アカウントのため、Free プランでの挙動は別途確認が必要です。

公式ドキュメント上は VS Code Plugin、MCP、Safe Chain、Pre-Commit Hook などは Free プランでも提供されていると記載があるので、理論上は Free でも同じように動くはず。ただし AutoFix の利用回数上限など、プランごとの制限は使い込んでみないとわかりません。

近日中に Free プランで実機検証して、別記事で報告する予定です。

---

やってみてわかったこと

正直、IDE 拡張ひとつでこれだけのことができるとは思っていませんでした。

実際に試して動いたこと:

✅ 拡張を入れて、コマンドパレットから3つインストールするだけ
✅ ファイル保存のたびに脆弱性とシークレットが自動チェック(Scan ボタンすらない)
✅ 依存ライブラリの CVE も検知して、AutoFix で修正案を提示
✅ AI 用の MCP ルールが .github/instructions/ に自動配置される

まだ実機検証していないが、動くはずのこと:

🔜 Cursor / Claude Code から MCP 経由でスキャンが走る
🔜 npm install のマルウェアブロック(Safe Chain)
🔜 git commit 前のシークレットチェック(Pre-Commit Hook)
🔜 Free プランでこれらが同じように動くか

検知自体は無制限で、Scan ボタンもなく自動的にスキャンが走るのは想像以上に快適でした。AutoFix の回数上限も、Free プランの範囲も、引き続き検証して報告します。

---

まとめ: 5分で始められる手順

1. VS Code Marketplace から Aikido Security をインストール
2. Aikido Free アカウントでログイン
3. コマンドパレット(Cmd+Shift+P)から以下を実行
   • Aikido: Install MCP Server
   • Aikido: Install Safe Chain
   • Aikido: Install Pre-Commit Hook
   • Aikido: Automatically Setup MCP Rules
4. Aikido ダッシュボードでチェックマークを確認
5. 普段通りコードを書く

これだけです。あとは保存するたび、コミットするたび、AI が生成するたびに、Aikido が裏で動いてくれます。

Free プランで使えるかは、近日中に別途検証して報告します。 公式ドキュメント上は Free でも提供されている機能なので、おそらく同じように動くはず。詳細は続編で。