【なぜ重要か】
AIによるコード生成の加速により、脆弱なコードが本番環境に混入するリスクが急増している。Aikidoの調査によれば、約70%の組織がAI生成コードに起因する欠陥を発見しており、エンジニアはセキュリティ検出結果のトリアージに週6.1時間を費やし、そのうち72%はフォールスポジティブへの対応に浪費されている。SASTツールの品質がこれまで以上に重要になっている。
【ポイント】
- Aikido Security：決定論的SASTエンジンにAIトリアージ・優先順位付け・自動修正（AutoFix）を組み合わせた製品。AIによるノイズ削減とリーチャビリティ分析によりフォールスポジティブを最大95%削減。コミットごとにスキャンが実行され、修正差分付きのPRを自動生成。VS CodeなどのIDE、Jira、Linear、Slack、Bitbucket、Azure DevOpsと連携。エンタープライズ向けにカスタムポリシー・ルール、プライベートデプロイ、監査ログも提供。
- Checkmarx：SAST・DAST・SCA・IaCなど多数のモジュールを束ねたエンタープライズ向け統合プラットフォーム。COBOLやRPGを含む広範な言語をサポートするが、フルスキャンに25〜45分かかり、導入に6週間以上を要することもある。価格は非公開のクォートベースで、モジュールごとに課金される。開発者体験が古いとのユーザーレビューも多く、AI自動修正の弱さが指摘されている。
- Snyk Code：SCAツールとして出発したSnykのSAST製品。機械学習（LLMではない）によるノイズ削減を採用しているが、競合と比較してフォールスポジティブが多い傾向がある。自動修正機能「Agent Fix」はLLMと静的解析の検証ループを活用。開発者10名超でエンタープライズ契約（年間1万5000ドル以上）が必要となる価格体系で、カスタムルールもエンタープライズプランのみ。
- SonarQube：コード品質とSASTを組み合わせた製品だが、ルールの大半は品質向上を目的としており、高度な汚染分析（taint analysis）は4言語のみ対応。コード行数ベースの課金、月5〜15時間の管理工数、カスタムルールはエンタープライズ限定という制約がある。
- GitHub Advanced Security（CodeQL）／Semgrep：CodeQLはGitHub・Azure DevOps専用でセマンティック解析が強みだが、カスタムルール作成の学習コストが高い。Semgrepはカスタムルールを自分で書きたいチーム向けだが、クロスファイル解析とAIトリアージは有償プランのみ、エンタープライズガバナンス機能は薄い。
【まとめ】
SASTツール選定では「フォールスポジティブの削減」「AIを活用した自動修正の質」「開発者の既存ワークフローへの統合度」の3点が最重要判断基準となる。エンタープライズ水準のSASTと最小限の運用負荷を両立したい場合はAikido Securityが最有力候補であり、まず自社リポジトリで自動修正の品質を実際に検証することが推奨される。