Code Audit発表：ソースコードに潜む複雑な脆弱性を発見する新機能

【なぜ重要か】 AIエージェントの能力向上により、攻撃者がアプリケーション全体にわたる脆弱性の発見・連鎖を自動化できる時代が迫っている。既存のSASTはルールベースの脆弱性検出には優れるが、ロジックに依存した多段階の脆弱性はパターンマッチングでは検出できない。守る側も同じAIエージェントを活用し、コードが本番環境に到達する前に脆弱性を発見する必要がある。

【ポイント】

• SASTとペネトレーションテストの間を埋める：Code AuditはSASTエンジンの代替ではなく、静的ソースコードに対してペネトレーションテスト相当の推論を行う位置づけで、大型リリース前や主要機能追加後に使用することを想定している。
• 多段階・ロジックベースの脆弱性を検出：複数ファイルをまたぐIDORチェーン、ReDoSパターン、認証チェック漏れなど、単一行ではルールに引っかからない脆弱性を、ファイルやモジュールをまたいで参照を追跡することで検出する。
• 対象はWebアプリに限らない：ライブ環境を必要としないため、モバイルアプリ、スマートコントラクト、SASTカバレッジが薄いレガシー言語のコードベースにも適用できる。未デプロイの変更、フィーチャーフラグで隠れたコードパス、ライブテストでは安全に触れられない管理者用ルートも対象範囲に含まれる。
• 実績と精度：社内テストおよびアーリーユーザーの結果では、フルペネトレーションテストで発見される脆弱性の約70〜80%をカバーし、コストは約10分の1。1コードベースあたりの発見件数の中央値は約25件で、クリーンな結果（0件）で終わった監査はなかった。
• 発見タイミングが重要：リリース前にコンテキストを持った開発者が修正できる段階で脆弱性を発見することで、本番環境への到達後に発生する修正サイクルや他プロジェクトからの開発者引き抜きといったコストを回避できる。

【まとめ】 Aikido Code Auditは、AIを活用してソースコード上で多段階の複雑な脆弱性を自動検出する機能であり、SASTとペネトレーションテストのギャップを低コスト・短時間で埋める。AikidoアカウントからCode Auditメニューでリポジトリを選択し、クレジットを追加するだけで数分でセットアップ・監査を開始できる。