AIが脆弱性を見つけ、
AIが脆弱性を修正する時代へ

Takumiの自動修正機能を先行体験しました。診断結果として「どこが問題で、どう直すべきか」が示されるだけでなく、修正パッチとテストコードが生成され、Pull Requestという具体的なアクションまで落とし込まれる点が非常に有用だと感じています。 修正内容を確認したうえでPRを作成できるため、既存の開発フローにも無理なく組み込めました。長時間稼働するTakumiならではの網羅性によって複数の指摘を一括で修正でき、実際にいくつかの問題をそのまま取り込んで改善につなげることができました。

従来のホワイトボックス診断では、検出された脆弱性の影響調査と、修正案を開発サイドに説明するコストが課題でした。しかし、自動修正機能はソースコードを深く解析した上で、コンテキストに沿った修正を自動提案してくれます。 ・工数削減: 修正コードの検討時間がほぼゼロになり、レビューに集中できる。 ・確実性: 人為的な修正ミスを防ぎつつ、セキュアなコーディング規約を浸透させやすい。 「脆弱性を管理する」立場からすれば、トリアージからパッチ適用までのMTTR（平均修復時間）を劇的に短縮できる、極めて実践的なソリューションだと感じました。

脆弱性対応の適切な実装を行ってくれるのは勿論ですが、対応が適切であるかを確認するインテグレーションテストまで同時に実装されるのは驚きでした。テストの整備が行われることで、開発者によるチェックだけでなく、デグレによる脆弱性の再発の防止が可能になります。これはコード品質にもプラスの影響を与えてくれるだろうと感じました。 Takumi によって開発組織自らが脆弱性対応を自走しつつ、より新機能開発に集中可能になることを期待しています。

私たちは今、Takumiを使用した脆弱性診断を週に2回行っています。長期間継続し続けている影響で新規のコードに対する脆弱性はほぼ含まれなくなっていました。一方で既に運用中の機能に対してはどのように実施するのかや、修正作業に関してはどういう風にやるかを迷っていた部分があります。一部分だけの診断が出来たり、全体に対しての診断が出来ることで診断自体の柔軟性も高いなと感じています。 また、自動修正タスクが動くことで、「この脆弱性はどのように直すのが妥当か」「既存コードにどう影響するか」といった修正方針のたたき台が明確になりました。結果として、修正の検討にかかる時間が減り、レビューも「正しいかどうか」ではなく「より良くするにはどうするか」に集中できるようになったと感じています。