私の庭から出て、脆弱性を修正しろ！

今日は、セキュリティ分野における最新のイノベーション、新しいCLIツールGreybeardを発表できることを心からうれしく思います。長年、丁寧でプロフェッショナルなセキュリティアドバイスを提供してきた私たちは、開発者が本当に必要としているのは、遠慮なく本音を伝えてくれる、気難しいバーチャルセキュリティエキスパートだと気づきました。

今どきのセキュリティツールが抱える問題

率直に言いましょう。標準的なセキュリティスキャンの結果は、ペンキが乾くのを眺めるのと同じくらい退屈です。無機質なCVEのリストに、深刻度評価と修正手順が並ぶだけ。あくびが出ます。

開発者とセキュリティの検出結果を何度も確認してきた中で、ある傾向に気づきました。伝え方に個性があるほど、メッセージは記憶に残りやすくなるのです。

考えてみてください。どちらのほうが記憶に残るでしょうか。

1. 「脆弱性を検出しました：CVE-2023-1234（高）」

2. 「なんてこった！テキサスほどの規模のメモリリークがあるぞ！新人でも目をつぶって、もっとマシなコードを書く！」

Greybeardの登場：態度の悪いセキュリティツール

Greybeardは、Snykの強力なセキュリティスキャン機能に、あらゆるものを見てきて、あなたのコードに心底あきれている、気難しく経験豊富なセキュリティエンジニアの個性を加えた、画期的なCLIツールです。

Greybeardの特長をご紹介します。

• 歯に衣着せぬフィードバック：Greybeardは脆弱性を取り繕いません。セキュリティ上の問題について、ありのままを伝えます。

• 状況に応じた知恵：何十年ものセキュリティ経験をシミュレートしたGreybeardは、問題を特定するだけではありません。どんなプライドあるセキュリティ専門家でも嘆くような脆弱性である理由を、個性あふれるコメントで説明します。

• やる気を引き出す罵倒：がっかりした専門家から厳しく説教されるような体験ほど、セキュリティ問題の修正意欲をかき立てるものはありません。

Greybeardの仕組み：シンプルなAI

では、Greybeardはどのように動作するのでしょうか？現代のあらゆるものと同じく、GreybeardもAIを活用しています。このツールを使うには、環境変数OPENAI_API_KEYにOpenAI APIキーを設定する必要があります。

GreybeardはSnyk CLIとまったく同じように動作します。実行すると、すべてのCLI引数を基盤となるSnyk CLIツールに渡し、元のSnykの出力を取得して、Greybeardの個性で「強化」します。

このツールはGoで構築され、完全なオープンソースで、Mac、*nix、Windowsで動作し、簡単にインストールできます。GitHubリポジトリはこちらからご覧いただけます。

実際の使用例

Greybeardを社内でテストしたところ、開発者が次のような報告を受けた場合、脆弱性を覚えて修正する可能性が412,025%高くなることがわかりました。

====================
LISTEN HERE, YOUNGSTER!
====================

I just found a critical prototype pollution vulnerability in your lodash dependency.
Back in MY day, we vetted our dependencies manually before adding them to our projects!

What are they teaching in coding bootcamps these days?! 
I've seen more secure code written on napkins at the 1999 DefCon!

FIX THIS: npm update lodash to version 4.17.21 or later.

And while you're at it, consider a career in basket weaving instead.
*grumbles incoherently about modern development practices*

記憶に残るセキュリティの科学

これは、単に楽しむためだけではありません（Greybeardの個性づくりが楽しかったと言えば嘘になりますが）。このアプローチには、心理学的な裏付けがあります。

• 感情を伴って伝えられた情報は、異なる形で処理され、より長く記憶に残ります。

• ユーモアは、退屈になりがちなセキュリティ作業にポジティブな印象を与えます。

• 個性豊かなキャラクターによる特徴的なフィードバックは、日々のアラートに埋もれず、目を引きます。

Greybeardを使い始めるには

Greybeardの使い始めは、私にJavaScriptフレームワークを使わせるより簡単です。

/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/snyk-labs/snyk-cli-greybeard/refs/heads/main/install.sh)"

あとは、次を実行するだけです。

greybeard

そして、容赦なく率直なセキュリティアドバイスに備えましょう。

セキュリティの未来は……個性？

Greybeardはエイプリルフールの楽しいプロジェクトとして始まったかもしれませんが、その根底にある考えは真剣なものです。セキュリティのフィードバックを、より興味深く、記憶に残りやすく、効果的にすることです。

このアプローチに開発者がどう反応するのか、私たちは本当に楽しみにしています。セキュリティツールに個性を加えることで、セキュリティ上の検出結果と開発者のアクションの隔たりを縮められるでしょうか？セキュリティをより身近にし、敷居を下げられるでしょうか？

それとも、Snykが開発者リレーションズ責任者をエイプリルフールの冗談で暴走させた、あの出来事として記憶されるだけでしょうか？

答えは時が経てばわかります。それまでは、私の庭から出て、脆弱性を修正してください！

Snyk CLI Greybeardは、セキュリティをより身近で効果的にする新しい方法を探るSnyk Labsの実験的プロジェクトです。