キャピタルワン、AIセキュリティツール「VulnHunter」をオープンソース公開

キャピタルワンは、ソースコードに潜む脆弱性を本番環境にデプロイする前に発見・修正するための、AI搭載セキュリティツール「VulnHunter」をオープンソースとして公開しました。このエージェンティックなツールは、コードベースをスキャンしてセキュリティ上の欠陥を検出し、攻撃に悪用される可能性のある経路をマッピングし、さらには修正手順まで提案します。いわば、自動化されたセキュリティレビューアの役割を果たします。 VulnHunterは、AIをソフトウェア開発ライフサイクルに統合する上で、重要な一歩を示しています。従来の静的解析ツールは、誤検知（偽陽性）が多かったり、手動での調整が煩雑だったりする課題がありました。VulnHunterは大規模言語モデル（LLM）を活用してコードのコンテキストを理解するため、ノイズを低減し、実用的なインサイトを提供します。また、脆弱性がどのように悪用されるかをトレースできるため、開発者はリスクをより明確に把握できます。 このツールのリリースは、AIが生成するコードが増加している現在、特にタイムリーです。開発者がGitHub Copilotのようなアシスタントツールに依存するようになるにつれ、安全でないコーディングパターンが混入するリスクも高まっています。VulnHunterは、そうした問題が複雑なシステムに組み込まれる前に、早期に発見することが可能です。 キャピタルワンはVulnHunterをオープンソースとして公開することで、コミュニティでの協力を促進し、業界全体のセキュリティイノベーションを加速させることを目指しています。このツールのアーキテクチャはCI/CDパイプラインへの統合を考慮して設計されており、開発速度を落とすことなく、継続的なセキュリティフィードバックを提供します。 初期の導入企業からは、従来のスキャナでは見逃されがちな、微妙なロジックの欠陥や設定ミスを検出できる点が高く評価されています。どんなツールも完全なセキュリティを保証するものではありませんが、VulnHunterは、セキュリティを開発プロセスの早い段階（シフトレフト）に組み込み、より安全なソフトウェアを構築したいチームにとって、実用的な防御策を提供します。