Evo Agentic AppSecのご紹介：AI開発のスピードに対応するセキュリティ

AIはソフトウェアの開発方法を変えています。コーディングエージェントが生成するコード量はチームのレビュー能力を上回り、現在のモデルでは、人間の開発者と比べてコード行あたり数倍の脆弱性が生じます。こうした問題の多くはビジネスロジック、アクセス制御、認証に関するもので、パターンベースのスキャナーでは把握しきれない領域です。

こうした変化が始まる前から、セキュリティチームの多くはすでに後れを取っていました。大量の検出結果に追われ、その多くはノイズである一方、潜在的なリスクのバックログも抱えています。攻撃者はAIを使って弱点を見つけ、深刻度の低い問題を組み合わせてより重大なエクスプロイトにし、攻撃を加速させています。2026年10月時点で、Snykのデータによると、修正された脆弱性1件に対し、新たに約8件が持ち込まれていました。AI駆動型開発は、この不均衡にさらなる圧力を加えています。ビジネスロジックの欠陥を見つける詳細なセキュリティレビューには多くの時間とコンテキストが必要なため、ほとんどのチームが実施できるのは、一部の重要なアプリを対象に一度だけです。

ソフトウェアサプライチェーン攻撃は、問題をさらに深刻にします。現在、悪意のあるパッケージがオープンソースのゼロデイ脆弱性の大半を占めており、2026年には注目度の高い攻撃が20件以上発生し、前年比600%を超える増加が見込まれています。悪意のあるパッケージは、プルリクエストやCIスキャンが実行される前のインストール時に認証情報を盗む可能性があります。また、コーディングエージェントは安全性を評価せずにこうしたパッケージを取り込むことがあります。

セキュリティは、現在のソフトウェア開発のペースに追いつき、コードがレビューに届く前にリスクに対処する必要があります。そして

プルリクエストのスキャンだけでは、もはや不十分です。

プルリクエストのスキャンは、引き続き重要な対策です。しかし、それだけですべてのリスクに対処することはできません。特に、コードが継続的に生成され、スキャンの開始前に悪意のある依存関係が被害をもたらす可能性がある場合はなおさらです。

アプリケーションセキュリティは、3つの段階で実施する必要があります。コーディングワークフロー内のチェック、CIで変更ごとに実行する高速かつ決定論的なスキャン、そして定期的に行うアプリケーション全体の詳細な分析です。この分析では、既知の脆弱性パターンに加え、ビジネスロジックとアプリケーションのコンテキストも考慮しなければなりません。

検出結果を増やしても、チームが対処できなければ意味がありません。防止と修正も同様に拡張できる必要があり、何をブロックし、何を修正し、何を人のレビューに回すのかを明確なポリシーで定める必要があります。チームが修正案を受け入れる前に、その有効性を独立して検証しなければなりません。

答えは、もう一つスキャナーを追加することではありません。エージェントが実行し、チームが主体となるセキュリティプログラムです。

Evo Agentic AppSecのご紹介

Evo Agentic AppSecは、アプリケーションセキュリティプログラムの業務を担うセキュリティエージェントのチームです。チームはポリシーの策定と意思決定に専念できます。脅威の評価と防止から、検出、優先順位付け、修正、検証までの機能を統合し、アプリケーションセキュリティを継続的に管理できるよう支援します。

アプリケーションの脅威と対策を評価し、脆弱性を特定し、修正の優先順位を決め、その結果を検証できるようチームを支援します。エージェントは開発中の新しいコードに対応し、新たな問題を防ぎ、悪意のあるパッケージのインストールをブロックします。また、すでにリリースしたアプリケーションにも対応するため、バックログを実際に減らせます。

Snykのセキュリティインテリジェンスが、こうした取り組みを支えるコンテキストを提供します。10年にわたる決定論的な評価に、到達可能性、悪用可能性、破壊可能性、修正結果などのシグナルを組み合わせています。このコンテキストによって、チームは重要な問題とノイズを見分け、提案された変更を実際に活用できる修正へとつなげられます。

実際の依存関係アップグレードを対象としたSnykの最新ベンチマークVulnBumpでは、Evo Remediation Agentが90%の割合でマージ可能な修正を生成しました。同じモデルをSnykのコンテキストなしで使用した場合は59.6%でした。マージ可能な修正とは、脆弱性を解消し、プロジェクトのビルドも可能な状態に保つ修正です。

独立した検証は、このアプローチの中核です。生成に使ったモデルだけに頼らず、決定論的なエンジンが修正案をチェックします。プロセスを管理するポリシーと受け入れ基準は、チームが定めます。

Agentic AppSecは、Evoに新たに加わる次のソリューションです。Evoは、開発するアプリケーションと導入するAIエージェントの両方をチームが保護できるよう支援する、Snykプラットフォームの一部です。

仕組み

Evo Agentic AppSecは、それぞれが特定の役割を担うエージェントチームを統合します。

• Evo Agentic Security Reviewはアプリケーションの脅威と対策を評価し、根拠に基づく検出結果と修正ガイダンスを提供します。この詳細なレビューを、チームの規模を拡大せずにすべてのアプリケーションで実行できるようになりました。

• Evo Code Scanning Agentは、従来のスキャナーが見逃すビジネスロジックや認可の欠陥を特定します。

• Snyk Secretsは、従来型およびAI支援型の開発において、漏えいしたシークレットを検出します。

• Evo Remediation Agentは、新しいコードと既存のバックログにある問題を修正します。提供開始時には、サードパーティ依存関係の問題から対応します。

• Evo Dependency Firewallは、コードスキャンが行われる前のインストール時に、悪意のあるパッケージやポリシーに違反するパッケージをブロックします。エージェントにインストール時の注意を指示する必要はありません。デフォルトで信頼できるパッケージを取得します。

Evo Continuous Offensive Securityは、アプリケーションの防御と修正の有効性をさらに評価するための敵対的テストを提供します。

これらの機能を組み合わせることで、チームは人が関与し続け、ポリシー、優先順位、承認を管理しながら、セキュリティ対象範囲を広げ、より多くの修正作業に対応できます。

Evo Agentic AppSecは、Snyk CodeとSnyk Open Sourceを基盤としています。チームがすでにコードや依存関係のスキャンに使用しているエンジンが、基盤となる分析を提供し、検出結果と修正案を独立して検証します。

チームの対応力を高める

開発やセキュリティの作業が自動化されるほど、チームには明確な監督体制と説明責任が必要です。

開発者は、提案された変更のレビューにより多くの時間を割けるようになります。AppSecチームは、セキュリティポリシー、例外、そして人の判断が必要なリスクに集中できます。CISOは、継続的に稼働するプログラムを可視化し、敵対的テストや自動化された意思決定の監査証跡も確認できます。

専任のAppSec部門がない組織にとって、これらの機能は一貫したセキュリティ対策の確立と、その維持に必要な手作業の削減に役立ちます。

目指すのは実践的な成果です。より多くの問題を防ぎ、既存の脆弱性をより速く解消し、修正が機能していることを示す根拠をチームに提供します。

実際にご覧ください

現在：

• 従来のスキャナーでは、最も重大な問題を見逃している

• バックログが、解消できるペースを上回って増え続けている

• コーディングエージェントがシークレットをコミットし続けている

• インストール時に被害をもたらす悪意のあるパッケージ

Evo Agentic AppSecは、防止、検出、修正、検証を実現し、こうした課題へのチームの対応を支援します。

すべてのエンジニアのそばにセキュリティエージェントチームを配置することに関心がありますか？エージェントの早期アクセスについて、Snykのアカウント担当者にお問い合わせください。今後のAgentic AppSecに関する発表にもご注目ください。