脆弱性の発見が、修正のスピードを追い越したら

アプリケーションセキュリティは、新しい時代に入りつつあります。フロンティアAIモデルが次々と明らかにしているのは、従来のツールが見落としてきた複雑な欠陥。一方で攻撃者も同じモデルを使い、それをより速く悪用しています。修正のスピードは、この変化に追いついていません。Verizonの「2026年データ侵害調査報告書（DBIR）」によると、悪用が確認された脆弱性を完全に修正するまでの期間は中央値で43日。2025年の32日から延びています。

セキュリティチームは、拡大し続けるアプリケーション群、サードパーティの依存関係、そして次々と公表される新たな脆弱性情報への対応で、すでに手一杯の状態にあります。脆弱性を見つけて修正コードを書くエージェントは、以前より手軽に使えるようになりました。しかし、企業が実際にソフトウェアを開発し、デリバリーするプロセスにそれを組み込むのは、いまだに簡単ではありません。

生成されたパッチには、テストが欠かせません。セキュリティポリシーの適用も必要です。変更にはレビューと承認というプロセスがあります。そして最終的には、その修正が安全に本番環境へ到達しなければなりません。

アプリケーションセキュリティの次の大きな転換点は、ここにあると私は考えています。 自律的に動くエージェントを、ソフトウェアファクトリーの内側で働かせる必要があります。GitLabがAnthropicのClaude Mythos 5.1を取り込み、発見・修正・予防を信頼できる1つのワークフローとしてつないでいるのは、そのためです。

重大な脆弱性が公表された瞬間から、時間との戦いが始まる

PHP2Shellのような重大な脆弱性が明らかになると、セキュリティチームはまず影響範囲の把握に追われます。大規模な組織であれば、その対象は数百から数千にのぼるリポジトリ、アプリケーション、依存関係に及びます。

影響範囲の特定は、最初の一歩にすぎません。その後も、悪用可能性の評価、対象アプリケーションの優先順位付け、修正の調整、テストの実行、そして本番環境への反映と、工程は続きます。引き継ぎのたびに時間は失われ、そのスピードが結果を左右します。実際、侵害の31%は脆弱性の悪用から始まっており、DBIRの19年の歴史で初めて、初期侵入経路の首位となりました。

重大な脆弱性が増えるほど、検出結果を手作業で調査し、チケットを割り当て、デベロッパーが修正を書くのを待つという従来のやり方は、維持が難しくなります。

脆弱性の発見から、検証済みの修正までの時間を、大幅に短縮しなければなりません。 そのために必要なのは、マシンスピードで動くセキュリティワークフローです。しかも、信頼性の高いソフトウェアをデリバリーするために組織が頼ってきた統制は、そのまま維持しなければなりません。

エージェント型の修正をソフトウェアファクトリーに組み込む

AIエージェントは、脆弱性の発見と修正において目を見張る成果を出します。課題は、その成果を企業全体で信頼でき、再現できるものにすることです。

エージェントは数秒でパッチを生成します。ただし、アプリケーションを正しく理解したのか、実際のビルドに対して変更を検証したのか、自社のセキュリティポリシーに従ったのか。これらは別の問題です。エージェントを数千のプロジェクトに展開するほど、この問いに答えるのは難しくなり、判断を誤ったときの代償も大きくなります。

GitLabは、エージェント型のセキュリティワークフローを、チームが実際にソフトウェアを開発し、テストし、デリバリーしている環境の中へ持ち込んでいます。

エージェントの働きはすべて、対象のシステムをどれだけ理解しているかに左右されます。そしてその理解は、リポジトリの外側にまで及ばなければなりません。ソフトウェアライフサイクルのコンテキストをリアルタイムにグラフ化するGitLab Orbitは、検出された脆弱性を、それを生んだ変更、それをデリバリーしたパイプライン、そして修正を担当するチームへと結びつけます。PHP2Shellのような脆弱性が公表されたときに湧き上がる問い、つまり「自社は影響を受けるのか」「その箇所に到達可能なのか」「影響はどこまで広がるのか」「本番環境を壊さずにどう直すのか」に答えられるのも、このコンテキストがあるからです。

GitLab Duo Agent Platformは、ソフトウェアそのものと、その作られ方のコンテキストを踏まえて検出結果を調査します。誤検知の可能性が高いものを除外し、悪用可能性と到達可能性にもとづいて優先順位を付けます。

対応すべきと判断された検出結果については、Duoが修正を書き、それを既存のパイプラインに通してリグレッションの有無を確認し、セキュリティスキャンを再実行します。デベロッパーは1つのマージリクエストの中で、変更内容、Duoによる説明、パイプラインの結果をまとめてレビューできます。

セキュリティチームは、影響範囲の把握から修正の着手までを一気通貫で進められます。デベロッパーの役割は、検出結果を追いかけることから、修正をレビューすることへ。これらのワークフローはソフトウェアファクトリーの内側で動くため、エージェントは、組織がすでにソフトウェアのデリバリーに使っているプロセスと統制の範囲内で動作します。

こうしてエージェント型セキュリティは、切り離された個別の機能から、企業が数千のプロジェクトにわたってマシンスピードで信頼し、運用できるものへと変わります。

最も重大な脆弱性にフロンティアAIを投入する

アプリケーションの脆弱性のなかでもとりわけ危険なものは、そのソフトウェアが本来どう動くべきかを深く理解しなければ見つかりません。認可チェックの欠落、所有権ロジックの破綻、そして顧客データを露出させたり、ユーザーに本来許されない操作を許してしまったりするビジネスロジックの欠陥です。

こうした問題は、アプリケーションの挙動とコンポーネント間の関係を推論しなければ発見できないため、従来のスキャナーでは手が届きませんでした。

新たに登場したBusiness Logic Security Analyzerは、AnthropicのClaude Mythos 5.1に対応するGitLab初の機能です。アプリケーションが自らのルールをどう適用しているかを検証します。リポジトリ全体と新しく届いたマージリクエストを読み込み、各エンドポイントが本来何を強制すべきかを推論し、パターンベースのスキャナーが見落としがちな抜け穴を指摘します。

ただし、本当の価値は、こうした発見をチームがすでに使っているワークフローにつないだときに生まれます。重大な欠陥が見つかったとき、チームはその影響を把握し、修正に着手し、提案された修正を検証し、安全にデリバリーしなければなりません。フロンティアAIをソフトウェアファクトリーに統合することで、この一連のプロセス全体をマシンスピードで回す道が開けます。

モデルがどれだけ賢くても、その結果に対して行動できなければ価値にはなりません。

リスクのあるコードを本番環境に到達させない

脆弱性を早期に見つけることには価値があります。さらに良いのは、脆弱なコードや安全でないパッケージを、そもそも本番環境に入れないことです。エージェントの自律性が高まるほど、こうした防御の重要性は増していきます。

セキュリティ統制はソフトウェアファクトリー全体に組み込み、変更を加える人間やエージェントから独立して適用する必要があります。どの変更も、同じゲートを通過してはじめて次の工程へ進む。この原則が欠かせません。

GitLab Ultimateは、静的解析、依存関係スキャンとコンテナスキャン、シークレット検出、ポリシー適用、承認ゲートを、ソフトウェアデリバリーのプロセスに直接組み込みます。これらのポリシーは一元的に設定され、プロジェクトとパイプラインをまたいで一貫して適用されます。そのため、変更を書いた本人が人間であれエージェントであれ、自らの作業を評価する統制を変更したり、免除したりはできません。

同じ厳しさを、サードパーティのソフトウェアにも広げる必要があります。現代のアプリケーションはオープンソースの依存関係に大きく依存しており、脆弱なパッケージや悪意のあるパッケージは、デベロッパーが1行もコードを書かないうちに深刻なリスクを持ち込みます。

GitLabのDependency Firewallは、ポリシーに違反するパッケージを、ビルドに入り込む前にブロックします。GitLab Secrets Managerでは、各ジョブが要求し、かつ使用を許可されたクレデンシャルだけにアクセスできる仕組みです。そのため、侵害された依存関係が到達できるのは、自らが動作するジョブのシークレットに限られます。

エージェントには、素早く動く自由と、越えられない境界の両方が必要です。GitLab Duo Agent Platformは、各エージェントに3つの仕組みを与えます。呼び出したユーザーと共通する権限の範囲に動作を限定する複合ID、タスクの終了時に破棄されるサンドボックス、そしてすべての操作の記録です。これらの境界はGitLab Security Standardの一部であり、この標準のもとでエージェントは、各段階の統制が機能すると確認された分だけ、より大きな自律性を得ていきます。

変更を信頼できるものにする統制は、作業がマシンスピードで進むときにも、すべての工程で機能し続けなければなりません。

次のセキュリティを決めるのは、信頼できる実行基盤

フロンティアモデルは進化を続け、セキュリティエージェントはさらに高度になり、かつては見つけにくかった脆弱性も容易に発見されるようになります。この進歩は、組織の対応力に大きな圧力をかけることになります。

最先端のモデルを導入できたとしても、セキュリティチームがリスクを減らせるかどうかは、検出結果を本番投入できる修正へ、どれだけ速く、どれだけ安全に変えられるかにかかっています。

だからこそ、ソフトウェアファクトリーが重要になります。そこは、エージェントがアプリケーションを理解するためのコンテキストを得る場所であり、変更が実際のビルドとテストで検証される場所であり、セキュリティポリシーが適用される場所であり、すべての工程を遅らせることなく人間の監督が働く場所です。

GitLabはこれらの機能を1つにまとめています。すでに使っているワークフローの中で、修正を自動化し、複雑な欠陥を明らかにし、安全でない変更のデリバリーを防げるようにするためです。

次のセキュリティにおける優位性は、重大な発見を、検証済みで信頼できる修正へどれだけ速く変えられるかによって決まります。

次のセキュリティスプリントを、ぜひGitLabでお試しください。条件を満たすチームは、GitLab Ultimate、GitLab Duo Agent Platform、GitLab Orbit、GitLab Secrets Managerへのアクセスを、無償クレジット付きでリクエストできます。セキュリティスプリント（トライアル）に申し込んでみましょう。