JetBrainsは、OpenGrepエンジンを利用した検査を.NETおよびJavaScriptプロジェクト向けに統合し、Qodanaプラットフォームのセキュリティ分析機能を拡張したと発表しました。今回の追加により、Qodanaが既に備えているコード品質、脆弱性検出、依存関係分析、Taint Analysisとして知られるデータフロー分析の機能に、数百件のセキュリティ検査が加わります。また、チーム独自のOpenGrepルールや、サードパーティーが提供するルールも利用できます。
この発表は2026年8月17日、Qodana 2026.2のリリースへの言及と同時に行われました。JetBrainsによると、この統合の目的は、開発チームやセキュリティチームが別のツールや追加のレポート、ワークフローを管理することなく、リスク検出の範囲を拡大することです。
OpenGrepの検査で何が追加されるのか？
この統合により、一般的なセキュリティ問題のパターンを対象とする検査が追加されます。実際の結果は、プログラミング言語、フレームワーク、有効化されたルールによって異なります。発表で示された対象範囲は次のとおりです。
- SQLインジェクション、コマンドインジェクション、コードインジェクションを含むインジェクションの脆弱性。
- クロスサイトスクリプティング（XSS）攻撃およびパストラバーサル。
- サーバーサイドリクエストフォージェリ（SSRF）。
- 一部のデシリアライゼーションおよびリソース割り当てに関する問題。
- Qodanaのルールセットが対象とする安全でないプログラミングパターン。
- 対応する脆弱性に関連する安全でないデータフロー。
- 内部API、フレームワーク、組織のポリシー向けのカスタム検査。
これらの検査はQodanaの既存機能を置き換えるものではありません。プラットフォーム独自の静的解析、依存関係およびライセンスの検査、脆弱性検出、品質ゲート、Taint Analysisと併用されます。Qodanaは、プロジェクトから派生したJetBrains版を基に構築されたOpenGrepのバイナリ版を使用します。
開発チームにとって実際に何が変わるのか？
結果は独立したセキュリティツールに分離されず、既存のQodanaワークフロー内に表示されます。JetBrainsによると、開発者は対応する統合開発環境、CI/CD分析中、Qodanaのレポートで結果を確認できます。また、自動品質ゲートを利用して、コードのマージまたはデプロイ前に基準を適用することも可能です。
つまり、セキュリティチームは検査範囲を拡大でき、開発者は品質とセキュリティの問題を一つのコンテキストで確認できます。JetBrainsが発表で示した文脈によれば、毎日生成されるコードの量が増加しており、AIの支援によって生成されたコードも含まれるため、この点は特に重要です。
対応言語と提供状況
統合されたOpenGrep検査は現在、.NETおよびJavaScriptプロジェクトで利用できます。JetBrainsは、将来的にKotlinとJavaへの対応を追加する予定ですが、発表では時期を明らかにしていません。また、利用可能な機能はQodanaのバージョンおよび分析対象の言語によって異なります。
JetBrainsは、検査が確率的な出力ではなく、定義済みのルールに基づく静的解析に依存していることを強調しています。このアプローチにより再現可能な検査を実施できますが、結果の精度はルール、言語、使用するフレームワークに左右されます。
透明性とパフォーマンス測定
JetBrainsは、SABER（Static Analysis Benchmark Evolution Runner）というツールを通じて、Qodanaのセキュリティ検査の性能をより明確に測定できるよう取り組んでいます。この取り組みは、マーケティング上の主張だけに頼らず、検出能力、正しい結果の割合、誤検知をチームが評価できるようにすることを目的としています。
発表では、これらの比較結果について具体的な数値は示されていません。また、さらなるルールの追加とOWASPおよびCWEのカバレッジ拡大に向けた作業が続いていると説明されています。そのため、最終的なカバレッジの範囲は、Qodanaのバージョン、言語、有効化されたルール、検査対象となるコードの性質によって左右されます。