Relay NetworkがAIコーディングを安全に導入し、エージェント型開発の基盤を構築した方法

AWS Marketplace経由での調達を標準化しているSnykの長年の顧客、Relay Networkは、B2Cコミュニケーションの革新を担う企業です。SMSと動的フィード技術を組み合わせた安全なコンテンツ配信チャネルを提供し、規制対象の企業がすべての顧客にパーソナライズされた、行動につながるモバイル体験を届けられるよう支援しています。信頼、コンプライアンス、データ保護が最重要となる業界において、ソフトウェア開発の中心には常にセキュリティがありました。しかし、Relay Networkのセキュリティへの取り組みは、決して従来型ではありません。

アプリケーションの構築後に審査する独立した機能としてではなく、セキュリティはエンジニアリングに直接組み込まれています。DevOpsディレクターのBrendan Putekは、セキュリティ、開発者支援、CI/CD、クラウド運用、サイト信頼性エンジニアリングを含む、幅広いプラットフォームエンジニアリング組織を率いています。セキュリティエンジニアのEsaie Batoulaは、セキュリティプログラムの拡大と運用化において重要な役割を担い、開発者が修正に責任を持てるようにするツール、手法、自動化を推進しています。

この運用モデルにより、Relay Networkは長期にわたり強固なセキュリティ基盤を築き、過去の脆弱性バックログを大幅に削減してきました。コードベース全体で、重大度「Critical」と「High」の問題がゼロという状態も維持しています。

そのため、AIコーディングアシスタントがソフトウェアの開発方法を変え始めたとき、Relay Networkは大きな可能性と新たな課題の両方を見出しました。

問われていたのは、AIを導入するかどうかではありません。どうすれば安全に導入できるかでした。

AIがもたらす生産性向上と、ガードレールの必要性

多くのエンジニアリング組織と同様に、Relay Networkも当初はAIを活用した開発に慎重でした。

2年前、この技術はまだ未成熟でした。初期のツールは出力にばらつきがあり、人による大幅な監督が必要でした。しかし、基盤モデルが進化し、GitHub Copilotなどのツールが成熟するにつれて、Brendanは明確な変化を感じました。

今ではAIは、チームがソフトウェアを設計、構築、修正する方法の中核を担っています。Relay Networkは、導入が簡単でGitHub環境にシームレスに統合でき、開発者に承認済みのエンタープライズグレードのAIツールを提供できることから、早い段階でGitHub Copilotを標準採用しました。承認されたツールを提供することは、開発者が管理されていない一般向けサービスに頼らないようにし、シャドーAIの抑制にも役立ちます。生産性の向上は明らかでした。

一方でAIは、安全でないコードや脆弱な依存関係の生成も加速させました。新たな制御を導入しなければ、開発の拡大と同じ速さで脆弱性も増えていくおそれがありました。

開発の初期段階からセキュリティを確保：コード生成時点でセキュリティを組み込む

Snykの導入前は、開発者がセキュリティ上の検出事項を目にするのは、プルリクエストを作成した後がよくありました。その頃には作業への意識が薄れ、背景を忘れてしまい、問題の理解や修正方法についてEsaieに助けを求めることも少なくありませんでした。

Esaieは、この課題を端的に説明しています。

「PRを出すとセキュリティチェックの一つが失敗し、私に連絡が来ます。でも、彼らの作業はもう終わっていて、リリースする準備ができているんです。」

この事後対応型のワークフローは遅延を生み、貴重なセキュリティエンジニアリングの時間を費やしていました。Esaieには、セキュリティ上の検出事項について毎日5〜10件、開発者から質問が寄せられていました。Relay Networkは、セキュリティをできる限り開発の早い段階に移し、コーディング体験そのものに組み込もうとしていました。

SnykをGitHub Copilotに統合することで、開発者はコードを生成し、すぐにセキュリティ上の検出事項を受け取り、コードをコミットする前にリアルタイムで修正できるようになりました。

Brendanはこれを、長年理論として掲げられてきた原則を実践に移したものだと捉えています。

Brendanは次のように述べています。

「開発の初期段階からセキュリティを確保することは、すべてのエンジニアリング組織が以前から実践しているべきことです。」

カスタムのコミット前フックでワークフローを拡張

Relay Networkの導入で特に効果を発揮したのは、Esaie自身による工夫でした。

Snykに組み込まれた、開発の初期段階からセキュリティを確保するためのフックを基盤に、EsaieはRelay Networkのワークフローに合わせたカスタムのコミット前フックで機能を拡張しました。このフックは、新たに追加されたすべてのコードをコミット前に自動スキャンします。

「PRに進む前にスキャンして、すべてを検出できるようにしたいんです。目の前にあるうちに調べることを促してくれます。」

これにより、開発者が数日後にCIパイプラインやプルリクエストで問題に気付くことはなくなりました。代わりに、コードを書いている最中にセキュリティ上の検出事項が表示され、すぐに解決するために必要な背景情報も揃っています。

開発者は問題の説明を確認し、悪用可能性を評価し、その場で修正案を生成できるようになりました。セキュリティは後工程のゲートではなく、開発プロセスそのものの一部になりました。

Brendanはこう話しています。

「エンジニアリングチームとセキュリティチームを分断するのはやめましょう。対立するのではなく、協力して取り組む必要があります。残念ながら、実際には対立しているケースがあまりにも多いのです。」

開発者が実際に使う姿を見て、急速に広がった導入

Relay Networkの展開は、いわゆる「クロール、ウォーク、ラン」の段階的な進め方に沿っていました。当初は導入が限定的でした。その一因は、AIコーディングアシスタントの使い方を学んでいる最中の開発者もいたことです。

しかし、Esaie Batoulaがエンジニアリングチームと時間を取り、ワークフローを説明すると、導入はすぐに加速しました。まずシニアエンジニアやテクニカルリードと緊密に連携し、開発のスピードを落とさずに、既存の開発者ワークフローへセキュリティを直接組み込めることを示しました。その効果はすぐに現れました。実際にワークフローを体験したチームリードは、より広いエンジニアリングチームにもすぐに導入を進め、数日のうちに初期の関心を組織全体の勢いへと変えていきました。Esaieによると、反応は圧倒的に好意的でした。

「感心しなかった開発者は一人もいませんでした。みんな『これは本当に必要だ。仕事が楽になる』と言っていました。」

Relay Networkでは、摩擦を増やすのではなく減らしたことが、開発の初期段階からセキュリティを確保する取り組みの成功につながりました。

修正の迅速化とMTTRの大幅な短縮

当初の目的は脆弱性の防止でしたが、Relay Networkは修正のスピードも大きく向上させました。週末に重大な脆弱性が見つかった際、Esaieは影響を受けるリポジトリを特定し、アップグレードを作成して変更をテストし、24時間以内に修正をデプロイしました。以前なら、同じ作業に少なくとも1週間かかっていたでしょう。Esaieはこう語っています。

「MCPサーバーとSnykのおかげで、修正がずっと速くなりました。リポジトリが大量にあるので、すぐに対象へアクセスして修正し、次に進めることが、修正にかかる時間の大幅な短縮につながっています。」

こうした改善により、Relay Networkは積極的な修正目標を維持し、重大な脆弱性を72時間以内に対応するといった、より厳格な顧客向けSLAにも備えられるようになりました。

開発者の自立性が高まり、AIを活用した修正がワークフローに直接組み込まれるにつれて、セキュリティエンジニアは手動でのトリアージに費やす時間を減らし、戦略的な取り組みにより多くの時間を割けるようになりました。

学習を促進するAI

予想外のメリットの一つは、AIが技術的な成長を加速させたことです。従来のソフトウェアエンジニアリングの経歴を持たないEsaieにとって、AIは未知のコードベースの理解、悪用可能性の評価、カスタムのユニットテストの作成、コミット前フックのような自動化の構築を可能にしました。

Esaieはこう話しています。

「1年半前は、今知っていることの半分も知りませんでした。」

Brendanは、これをAIの最も強力でありながら、見過ごされがちなメリットの一つと考えています。AIを適切に活用すれば、継続的な学習を支える存在になります。エンジニアの学習を加速し、より良い設計判断を促し、複雑さを増す技術スタック全体にわたって専門知識を広げることができます。

エージェント型開発のセキュリティ基盤を構築

Relay NetworkがSnykと取り組んだのは、主にAIが生成するコードと依存関係の保護でした。しかし、AIコーディングアシスタントがますます自律的なエージェントへと進化するにつれて、組織にはより広範な攻撃対象領域に対する可視性と制御が求められます。サプライチェーンの一部としてエージェントが取り込み、使用するMCPサーバー、スキル、ツール、外部インテグレーションに加え、システムや環境をまたいでエージェントが自律的に実行するアクションも保護する必要があります。

こうしたより広範な課題に対応するため、SnykはAIエージェント時代のソフトウェア開発の保護を目的としたソリューションを提供しています。Relay Networkが開発の初期段階からセキュリティを確保してきた取り組みは、この未来に向けた実践的な第一歩です。

AIを活用した開発にセキュリティを直接組み込むことで、Relay NetworkはAI導入を安全に拡大するために必要な制御、ワークフロー、エンジニアリング文化を確立しました。

AIを安全に導入するための指針

Relay Networkの事例は、イノベーションとセキュリティのどちらかを選ぶ必要はないことを示しています。SnykをGitHub Copilotに統合することで、開発者の作業を加速し、後工程での摩擦を減らし、修正を迅速化するとともに、エンジニアリングチームの能力を高め、AIを前提とした開発体制への移行を支援しました。

Brendanは次のように話しています。

「私たちの領域で、Snykと同等のセキュリティとコンプライアンスを提供する製品は他にありません。こうした機能をうたう製品は見てきましたが、同じように実現できているものはありません。」

Relay NetworkのAIを活用した開発戦略が成熟するにつれ、チームはCopilotだけでなく、CodexとWindsurfも利用するようになりました。Snykのスキャン機能と脆弱性のコンテキストをClaudeの開発者ワークフローに直接組み込めるようになった今、主要な開発アシスタントをClaude Codeへ移行する予定です。この変化は、AIを活用した開発がいかに急速に進化しているかを示しています。ソフトウェア開発がますますエージェント主導になるなか、成功するのは、本番環境に届くコードだけでなく、ソフトウェアの開発プロセスそのものを保護する組織です。

同じような課題の解決方法を知りたいですか？今すぐSnyk Studioでエージェント型開発のセキュリティを導入するか、CustomersページでRelay NetworkをはじめとするSnykの導入事例をご覧ください。