> For the complete documentation index, see [llms.txt](https://help.aikido.dev/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://help.aikido.dev/docs/docs-ja/aikdo/ai-code-audit-overview.md).
# コードセキュリティ監査
環境不要で、ソースコードに対してペンテスト級の推論を行います。
Code Security Audit は、セキュリティ重視の監査タイプです [AIコード解析](/docs/docs-ja/aikdo/ai-code-analysis.md)。ペンテスト級の推論を用いて、ソースコード内の脆弱性、ロジック上の欠陥、エクスプロイトチェーンを特定します。
ステージングURL、クロール、ペンテストのスコープ設定は不要です。リポジトリを接続し、クレジットでの料金を確認して、監査を開始してください。
## 仕組み
### リポジトリを接続
リポジトリは作成フローで選択します。Code Security Audit に必要なのはソースコードだけで、稼働中の対象、ドメイン、認証設定は不要です。詳細は [Aikidoはコードを保存しません](/docs/docs-ja/hajimeni/setting-up-your-account/aikido-never-stores-your-code.md) 分析中にソースがどのように扱われるかについて。
### エージェントがコードを推論する
複数のセキュリティエージェントが接続されたコードベースを協調して解析し、ファイルをまたいでコンテキストをつなぎながら、従来の静的スキャナーでは見えないアーキテクチャ上・ロジック上の欠陥をあぶり出します。
### 発見事項を読む
発見事項は **課題** アセスメントのタブとFeed内で、Aikido が検出した他のすべての項目と並んで表示されます。各検出項目には、概要、根本原因、修復方法、そしてコードベースの **証拠**。 [進捗と検出結果を追跡する](/docs/docs-ja/aikdo/ai-code-audit-overview/track-progress-and-findings.md) 完全な詳細表示を見るには。
## 価格とクレジット
Code Security Audit の料金は [Aikido クレジットで](/docs/docs-ja/miscellaneous-info/wallet-and-credits.md).
* 次の **料金** ステップで、確定前に正確なクレジット合計が表示されます。
* 費用は、選択したコードベースのサイズと複雑さによって決まります。大きく、または広範に広がった選択ほど、費用は高くなります。
* クレジットは **監査を開始**.
これらが SAST、Deep Review、動的アプリケーションセキュリティテスト（DAST）、Attack Surface Monitoring とどう位置づくかについては、をご覧ください [どの Aikido 製品を使うべきですか？](/docs/docs-ja/hajimeni/which-aikido-product-should-i-use.md).
## Code Security Audit と Aikido Pentest の比較
どちらも同じエージェント型エンジンで動作しますが、答える問いは異なります。Code Security Audit はソースコードについて推論し、Aikido Pentest は稼働中のアプリケーションを検証します。
### Code Security Audit を使うのは次のような場合です:
* 稼働環境を構成せずに、アクセス制御の不備、権限昇格、複数段階の攻撃チェーンを含む、ロジックやアーキテクチャの欠陥について深くコードを推論したい場合。
* 安定したステージング環境やQA環境の対象がない、または認証フローが実運用テストの準備ができていない場合。
* モバイルアプリ、デスクトップアプリ、組み込みシステム、ライブラリなど、コードベースを実運用テスト向けにセットアップするのが難しい場合。オンチェーン契約に焦点を当てたレビューには、 [スマートコントラクト監査](/docs/docs-ja/aikdo/smart-contract-audit.md).
* 最小限の設定で迅速に進めたい場合: リポジトリを接続し、クレジットを確認して、開始します。
* 本番デプロイに出る前に、ソース上の変更を検証したい場合。
### Aikido Pentest を使うのは次のような場合:
* 稼働中の対象があり、実際のトラフィックで実際に悪用可能かを検証したい場合。
* 再現リクエスト、攻撃対象領域のマッピング、ライブエージェントの活動を含む、実行時の証拠がほしい場合。
* スコープに、ソースに見えているものを超えて、ドメイン、認証済みユーザーロール、クロールで見つかったエンドポイントが含まれる場合。
* 必要なのは **さらに悪用する** 検証済みの発見事項をもとに、実行中のアプリに対する悪用をエスカレートし、機密データに実際に到達できるかなどの本当の影響を証明することです。
* ライブペンテストを想定する SOC 2 や ISO 27001 などのコンプライアンス要件を満たす必要がある場合。
## Code Security Audit と SAST の比較
どちらもソースコードを見ますが、仕組みは異なります。 [静的アプリケーションセキュリティテスト（SAST）](/docs/docs-ja/kdosukyan/scanning-practices/sast-by-aikido-supported-languages-and-security-focus.md) たとえば、汚染されたパラメータ、危険な API 呼び出し、またはチェック漏れのようなパターンを検出します。Code Security Audit はファイルをまたいで意図と文脈を推論するため、攻撃者視点が必要な問題を特定できます。両者は相補的です。
### Code Security Audit を使うのは次のような場合です:
* パターンマッチングでは見えない、アクセス制御の不備、権限昇格、ビジネスロジックの迂回、複数段階の攻撃チェーンを含むロジックやアーキテクチャの欠陥を見つけたい場合。
* サービス、モジュール、ヘルパーをまたいで参照を追う、ファイル横断の推論が必要な場合。
* 重要な変更、リリース、またはコードベースを分析しており、継続スキャンに加えて攻撃者視点のレビューがほしい場合。
* 単なるパターン検出ではなく、特定の検出結果について、根本原因、攻撃経路、修復方法を含むより深い文脈がほしい場合。
### SAST を使うのは次のような場合:
* インジェクションのシンク、汚染フロー、ハードコードされたシークレット、危険な API、Infrastructure as Code（IaC）の設定ミスなど、一般的な脆弱性パターンについて、各コミットごとの迅速なフィードバックがほしい場合。
* スキャンごとにクレジットを消費せず、すべてのプルリクエストとブランチを広く継続的にカバーする必要がある場合。
* 既知の危険パターンに対して、CI/CD でプルリクエストのゲートを適用している場合。
## FAQ
### なぜ Code Security Audit にはライブ URL が不要なのですか?
Code Security Audit はソースコードを直接読み取り、推論します。クロール、トラフィックの再現、ライブでの悪用はないため、向ける環境はありません。デプロイ済みの対象に対するライブテストには、を使用します [Aikido Pentest](/docs/docs-ja/pentesuto/aikido-pentest.md).
### Code Security Audit の検出結果を再テストできますか?
はい。修正をプッシュしたら、 **再テスト** をクリックして、Aikido に最新コードとの差分を再チェックさせてください。 **さらに悪用する** は Aikido Pentest のアクションです。実行中のアプリが必要です。その他の監査タイプの再テストは、で扱われます [進捗と検出結果を追跡する](/docs/docs-ja/aikdo/ai-code-audit-overview/track-progress-and-findings.md).
## 関連
{% content-ref url="/pages/1e8481997c89b7a36e6bef6d6fdd9e4f0bac4707" %}
[コードセキュリティ監査を作成する](/docs/docs-ja/aikdo/ai-code-audit-overview/create-an-ai-code-audit.md)
{% endcontent-ref %}
{% content-ref url="/pages/1e8b55dbb1fc2cac1af96a2c55e49ec119e834b6" %}
[AIコード解析](/docs/docs-ja/aikdo/ai-code-analysis.md)
{% endcontent-ref %}
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://help.aikido.dev/docs/docs-ja/aikdo/ai-code-audit-overview.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.