Chainguard、脆弱性を発見し、プログラミングエージェントの安全な作業を完了させるHarnessを発表

Chainguardは、アプリケーションコード内の悪用可能な脆弱性を発見・修正するために設計された、AIを活用するセキュリティプラットフォームHarnessの提供開始を発表した。従来のセキュリティスキャンツールでは検出できない欠陥も対象となる。プラットフォームは、AnthropicのClaude Mythos 5.1を含む高度なモデルを使用するが、Project Glasswing外の顧客が利用できるモデルの詳細は明らかにされていない。

Chainguardによると、Harnessは、すでに大規模なセキュリティ検査を受けたリポジトリで重大な脆弱性を発見した。その中には、重要インフラで使用されるソフトウェアも含まれていた。ただし同社は、影響を受けたプロジェクトの名称、欠陥の性質、修正済みかどうかを明らかにしていない。そのため、公開された情報から結果の範囲や一般化可能性を評価することはできない。

コンテナスキャンを超える広範な提供開始

Harnessは、4つの製品とアップデートから成る提供パッケージの中核であり、Chainguardの対象範囲を、保護されたコンテナイメージや依存関係から、プログラミングエージェントの実行環境や継続的インテグレーションパイプライン内の検証へと拡大する。パッケージには、Workspaces、Checks、そしてLibrariesの保護機能の拡張が含まれる。

顧客はClaude Mythos 5.1に直接アクセスすることなくHarnessを利用できる。また、この製品はClaude Marketplaceを通じて提供されるため、チームは別個の予算を設定する代わりに、Anthropicとの既存の支出コミットメントを利用できる。Chainguardは、Project Glasswingに参加していない顧客の脆弱性発見を担うモデルについては明らかにしていない。

プログラミングエージェントを内部システムから隔離

各開発者またはプログラミングエージェントには、ハードウェアレベルで分離されたmicroVMが割り当てられ、ネットワークポリシーによって内部システムへのアクセスが制限される。認証情報はエージェント環境の外部に保持され、署名付きログによって実行された活動が記録されるため、複数の自律セッションをまたぐ監査証跡を提供できる。

環境では、許可されていない接続が試みられた場合にmicroVMを終了できる、明示的な送信ポリシーが使用される。また、実行環境は長期的な認証情報を保持しない。ホスト上で動作するエージェントが、短期間のみ有効な認証情報を送信リクエストに注入する。

CIテストをエージェントのサイクルに組み込む

Chainguard Checksにより、プログラミングエージェントは開発中に継続的インテグレーションのチェックを実行し、その後、失敗状態を読み取って、プルリクエストを作成する前にコードを修正できる。このサービスでは、依存関係を含む事前準備済みのスナップショットを使用して、実行ごとに環境を再構築する必要をなくす。ロックファイルが変更されると、バックグラウンドで更新される。

ワークフローの各部分は、Chainguard OSのパッケージから構築された個別のmicroVM内で実行され、FIPS対応のツールチェーンが使用される。成功した実行では、実行環境、テスト結果、ソフトウェアコミットメントに関連付けられた署名付き証明が生成されるため、統合ゲートウェイはスイート全体を再実行することなく検証できる。Checksは現在、試験版として提供されている。

なぜこのニュースが重要なのか

Chainguardは、AIによる欠陥の発見速度と、その修正の遅さとの間にある実務上のギャップを強調している。同社が委託し、Wakefield Researchが9市場のセキュリティ責任者1,300人を対象に実施した調査によると、半数を超える組織が、高度または重大な脆弱性を修正しないままにすることがあると回答した。この割合は、年間売上高が10億ドルを超える企業では66%に上る一方、年間売上高が2億5,000万ドル未満の企業では27%だった。

Chainguardの説明では、AIは欠陥を発見して関連付けることを数分で実行できる一方、修正は製品のスケジュールやサービス継続性による制約を受け続ける。実際には、Harnessは修正そのものの問題を自動的に解決するものではない。情報源は、修正の成功率を説明しておらず、発見された脆弱性や、対処に必要な時間も特定していない。そのため、製品の価値は、チームが結果をレビューし、安全に変更を統合できる能力に左右される。

これと並行して、Chainguard LibrariesはGoおよび.NETパッケージ向けの安全なアクセスポイントを追加し、CVEへの対応をJavaScriptとGoに拡大する。さらにJavaとPythonのサポート拡大も計画している。これらの変更は、プログラミングエージェントがすでにプロジェクトに追加している可能性のある依存関係内の脆弱性を含む、新たな欠陥への対応を目的としている。Chainguard RepositoryとCursorとの提携を活用する。