AI SASTとは何か？従来のSASTとの違いと使い分け

【なぜ重要か】 LLMによってコード生産量が急激に増加する中、従来の静的解析ツール（SAST）では検出できない複雑な脆弱性が増えています。AI SASTは、人間のコードレビューと同等の推論能力でセキュリティ課題を発見する新しいアプローチとして注目されています。

【ポイント】

• AI SASTには「AI-native SAST」（AIが推論して脆弱性を検出）と「AI-augmented SAST」（従来の規則ベースSASTにAI機能を追加）の2種類が存在
• AI-native SASTは、IDOR、アクセス制御の欠陥、ビジネスロジックの不備など、パターンマッチングでは検出不可能な脆弱性を発見可能
• 従来のSASTと比較して、ファイル間の参照追跡、サービス横断的なデータフロー分析、コードの意図と実装の差異検証が可能
• スキャン1回あたりのコストが高いため、全コミットではなく重要な変更やリリース監査で使用
• AI SASTとAIペネトレーションテストは補完関係にあり、前者はソースコード解析、後者は稼働中アプリケーションの実証的テストを担当

【まとめ】 AI SASTは従来のSASTとペネトレーションテストの間を埋める技術で、組織は「SAST常時、AI SASTを頻繁に、AIペネトレーションテストを適宜」の使い分けを検討すべきです。