Ctrlk
Changelog NotificationsAPIAikido login
For the complete documentation index, see llms.txt. This page is also available as Markdown.

SAST自動トリアージ

SAST AutoTriage は、 Aikido Agent 静的解析のノイズを減らし、実際のセキュリティ脅威である問題に集中できるようにします。まず悪用可能性を排除できるかを試し、次に（必要な場合のみ）残った検出結果を (1) 悪用可能性、(2) 悪用された場合の深刻度 に基づいて順位付けします。主に SAST の検出結果に対して動作し、ローカル IDE、PR チェック、定期的な再スキャンといったおなじみのワークフローに組み込まれます。

AutoTriage は主に SAST を対象としています。また、コンテキスト上同様のアップグレード／ダウングレード判断が可能な場合には、少数のクラウドおよびコンテナのチェックもサポートされます。

AutoTriage とは何か（そして何ではないか）

AutoTriage 自体はスキャナーではありません。スキャンの後段に位置し、以下について判断します。 悪用可能性 と 深刻度 コードとそのコンテキストに基づいて。

SAST の問題の大半について、Aikido は Aikido 定義のルールに基づいてトリアージを行います。より複雑なケースでは、Aikido は推論モデルを使って、より微妙な制御フローとデータフローを解釈します。これには、呼び出しツリーを計算して、脆弱性のシンクに渡された変数を参照する呼び出し先関数を取り込み、関連するコードスニペットを構築することが含まれます。

Aikido の内部評価では、このアプローチにより、推論を使わない手法と比べて、これらの複雑なケースでおよそ 2 倍多くの偽陽性を検出します。

AutoTriage の仕組み

トリアージ前の誤検知フィルタリング

AutoTriage が LLM を使ってコードを確認する前に、Aikido の 到達可能性 エンジンは、脆弱なコードパスがアプリケーション内で実際に到達可能かどうかを確認して、偽陽性を除外します。これには以下が含まれる場合があります。

  • 影響を受ける関数を実際に呼び出しているかを確認する

  • 脆弱な依存関係が、ツールでのみ使われているのか、本番環境でも使われているのかを追跡する

  • ソースとシンクの間にサニタイズがあるかを確認する

  • 古くなった、または未使用のコードパスを削除する

これらのステップだけでも、ほとんどの従来型スキャナーと比べて、アラートの大きな割合を抑制できます。

信頼できない入力から危険なシンクへの経路が存在しないこと、またはその使用が本番フローの外にあることが到達可能性分析で判明したため、多くの潜在的な問題が自動的に無視としてマークされていることに気づくでしょう。

悪用可能性を排除できない場合、AutoTriage は優先順位付けに進みます。

優先度スコアリング

問題が依然として悪用可能である可能性がある場合、AutoTriage は発生確率と影響度を評価して優先度を設定します。Aikido の深刻度スコア（0〜100）を起点に、前段で収集したコードコンテキストを使って上下に調整します。

例:

  • SQL インジェクションの報告は、安全に ダウングレード される可能性があります。たとえば、入力変数が、すでに上流で検証済みのデータベースのような信頼できるソースに由来している場合です。

  • NoSQL インジェクションのリスクがあるログインエンドポイントは アップグレード され、「非常に高い優先度で修正」にすることができます。攻撃が容易で、以下に示すように認証に直接影響するためです。

真の陽性なら、AutoFix

トリアージ済みの真の陽性については、Aikido が AutoFix を通じて推奨パッチを生成し、レビュー用のプルリクエストを開くことができます。AutoFix は報告された脆弱性のみに焦点を当てており、GitHub、GitLab、Bitbucket、Azure DevOps の PR チェックに加え、ローカル IDE でも利用できます。

AutoTriage が考慮するシグナル

AutoTriage は コンテキストを強く必要とする ように設計されています。実際には、次のような要素を考慮します：

  • ユーザー入力が機密性の高いシンクに到達可能かどうか、およびサニタイズ／検証の有無と有効性

  • 入力が信頼できるストアに由来するかどうか、また脆弱なコードが本番ではなくビルド時やテスト時に使われるかどうか

  • データの機密性のようなビジネス影響のシグナル

  • 複雑なルールでは、推論モデルがたとえば OS 固有の区切り文字やパス解決の意味論といったエッジケースを評価します

Aikidoに聞く

クリック Aikidoに聞く の 推奨事項 パネルでチャットする Aikido Agent 脆弱性について。たとえば、なぜフラグが立てられたのか、脆弱なコードにどう到達するのか、または知りたいことなら何でも。

最終更新

役に立ちましたか？