VulnHunter：キャピタル・ワンのエージェンティックAIコードセキュリティツール、オープンソース化

Capital Oneは、VulnHunterをオープンソース化しました。これは、攻撃者の視点からソースコードをプロアクティブに分析するエージェント型AIコードセキュリティツールです。AIによるエクスプロイト自動化の増大する脅威に対抗するために設計されたVulnHunterは、パッシブスキャナーとは一線を画す3つの機能を備えています。誤検知を最小限に抑えるための検証エンジンを実行し、危険なシンクからではなく攻撃者がアクセス可能なエントリポイントから順方向に推論し、エビデンスに基づいたコード修正を生成します。

主な技術的特徴

• 検証エンジン： 潜在的な脆弱性を特定した後、VulnHunterは、サポートされていない仮定や論理的なギャップ、攻撃を妨げる条件を積極的に検索して、自身の発見を反証しようと試みます。この adversial チェックを通過した発見のみが開発者に届けられます。
• 攻撃者優先の順方向分析： シンク優先のパターンマッチングではなく、VulnHunterは攻撃者がアクセス可能なエントリポイント（API、ネットワークメッセージ、ファイルアップロード）から開始し、アプリケーションロジック、データ変換、セキュリティチェックポイントを通じて順方向に推論し、攻撃者が実際に突破できるかを評価します。
• エビデンスに基づく修正： 発見が検証を通過した場合、VulnHunterはエクスプロイト経路全体をマッピングし、攻撃者が得るであろう能力を説明し、開発者がレビューするための焦点を絞ったコード変更を生成します。

開発者体験の重視

VulnHunterは、誤警報を意図的に回避することでトリアージの負担を軽減するように設計されました。このツールは、内部で厳密に検証された発見のみを提供することを目指しており、開発者はノイズをふるいにかけるのではなく、検証された脆弱性の修復に集中できます。

このツールはエンタープライズ規模向けに構築されていますが、オープンソースリリースにより、どの開発チームでも利用可能です。Capital Oneはリリース前に自社のコードベースで実行しましたが、ソースにはエージェント型推論ワークフロー全体と検証エンジンが含まれています。