AikidoはClaude Securityより半額以下で多くの脆弱性を検出する

【なぜ重要か】 AIを活用した脆弱性スキャンツールを選定する際、モデルの性能だけでなく、そのモデルをどう活用するか（ハーネス設計）がコストと検出率の両方に大きく影響する。本記事は、AnthropicのClaude Security（Claude Mythos搭載）、OpenAIのCodex Security、そしてAikido Code Security Auditを同一の非公開ベンチマークアプリケーション（89件の既知脆弱性）で比較した実測結果を報告している。セキュリティ担当者やエンジニアがツール選定の判断材料として活用できる定量的な根拠を提供する内容である。

【ポイント】

• 検出率とコストの比較実測値： Claude Securityは89件中60件（67%）を$157で検出、Codex Securityは89件中58件（65%）を$125で検出、Aikido Code Security Auditは89件中68件（76%）を$75で検出した。Aikidoはモデル最上位のClaude Securityより8件多く検出し、コストは半額以下に抑えた。
• ハーネス設計の違いが鍵： Claude Securityはリポジトリマッピング・スキャンエージェント・多段階検証という高度なプロセスを採用しているが、Aikidoはタスクに最適化された低コスト・小規模モデルの群れ（スワーム）を広範囲の仮説探索に充て、フロンティアモデルの高コスト推論を最も効果が出る段階にのみ絞り込む設計を採用している。この設計上の差異が検出率の差に直結した。
• Aikidoが独自に検出した重大・高深刻度の脆弱性： Mythoが見逃した中には、ユーザーが自身のアカウント設定を変更して別組織に自己追加できるクリティカルなクロステナント認可欠陥（他組織データへの不正アクセスが可能）や、アプリケーションとDBのタイムスタンプ形式の不一致により期限切れAPIキーが有効であり続ける問題などが含まれていた。
• スキャンコストの透明性： Claude Securityはスキャン完了後にしかコストが判明しないため、大規模リポジトリやモノレポ、PRごとのスキャンに適用した場合、想定外の高額請求が発生するリスクがある。一方Aikidoはスキャン開始前にリポジトリのサイズ・レビュー対象コード量・複雑性からコストを動的に見積もり、ユーザーがカバレッジレベルを調整してからスキャンを実行できる仕組みを提供している。
• 「モデルよりハーネス」の実証： 同一モデルであっても、それを取り巻くシステム設計（ハーネス）が性能と効率を決定するという主張が、今回の定量比較によって主張だけでなく実測値として裏付けられた。

【まとめ】 最高性能のAIモデルを搭載していても、ハーネス設計次第で脆弱性検出率とコスト効率は大きく変わる。AIコードセキュリティツールを評価・選定する際は、搭載モデルのスペックだけでなく、エージェントの探索戦略やスキャン前のコスト可視性といったシステム全体の設計を比較検討することが不可欠である。