GenX Code Scan、AIと監査人でソースコードの脆弱性を診断
公開日:
GenX株式会社は10月14日、AIと専門の監査人を組み合わせた法人向けコード監査サービス「GenX Code Scan」の提供開始を発表しました。WebアプリやAPI、モバイルアプリ、業務システムなどのソースコードを調べ、脆弱性のリスクをレポートにまとめます。料金はコード量や監査範囲、難易度に応じた個別見積もりで、修正方針の提示はオプションです。単発のスポット監査と、開発に合わせた定期監査を選べます。
ポイント
- 1AIで脆弱性を検出し専門監査人が確認する法人向けコード監査サービス
- 2コード量や監査範囲に応じて見積もり、修正方針の提示はオプション
- 3スポット監査と定期監査を選べ、修正後のコードを再確認する流れ
新サービス公開前や外部委託したコードの確認に
GenXは、新サービスの公開前や大型改修の前に、第三者によるコード監査を受けたい企業を利用対象に挙げています。生成AIで開発した社内ツールや、外部に開発を委託したシステムの確認にも対応します。
監査は、ソースコードを閲覧できることが前提です。必要なタイミングで1回行うスポット監査と、開発に合わせた定期監査を用意しており、対象や範囲が決まっていない段階でも相談を受け付けます。
AIの検出結果を専門の監査人が確認
GenX独自のAIが、蓄積した脆弱性のパターンとソースコードを照合します。AIの検出結果を専門のセキュリティ監査人が確認し、誤検知を減らしたうえでレポートを作成する仕組みです。
GenXは、検出工程の一部をAIが担うことで、人手だけの監査より費用と期間を抑えられると説明しています。料金は、コードの行数、監査範囲、難易度に応じた個別見積もりです。具体的な金額や納期は発表していません。
出典：GenX株式会社。監査の流れとサービスの提供範囲を示した公式図です。
修正方針の提示と新たな攻撃手法の通知はオプション
レポートでは、見つかった脆弱性とリスクの度合いを示します。修正方針の提示はオプションで、修正後のコードを再監査して最終レポートを発行する流れです。問題がなかった箇所も報告対象に含めます。
定期監査では、新たな攻撃手法が見つかった際に、対象のコードが含まれているかを知らせるオプションも用意しています。開発や改修を続けるシステムについて、継続的に確認したい企業を想定したプランです。
アカウント乗っ取りや秘密鍵の管理不備を検出した例
GenXは、過去のコード監査で見つかった脆弱性の例として、アカウントの乗っ取りにつながる不備や、秘密鍵が暗号化されずに保存されていた状態を挙げています。発表された例とリスク区分は次のとおりです。
| リスク区分 | 監査で見つかった例 |
|---|---|
| 致命的（Critical） | アカウントの乗っ取りや権限の書き換えにつながる不備 |
| 致命的（Critical） | 秘密鍵を暗号化せずファイルに保存 |
| 致命的（Critical） | 利用中のWebフレームワークに既知の重大な脆弱性 |
| 高（High） | ログインせず特定の機能を利用できるAPI |
| 高（High） | 出力ファイルへ悪意のあるコードを埋め込める不備 |
| 高（High） | アクセス集中でサービスが停止するおそれ |
出典：GenX株式会社の発表。リスク区分は同社による分類です。
スマートコントラクト監査の技術を継承
GenX Code Scanは、GenXの前身であるBunzzが手がけたスマートコントラクト監査サービス「Bunzz Audit」の技術とノウハウを継承しています。スマートコントラクトは、ブロックチェーン上で動くプログラムです。
Bunzz Auditは2024年1月から提供され、国内外のプロジェクトのコードを監査してきました。その脆弱性検知の知見を、WebアプリやAPI、モバイルアプリなどの監査へ活用するとしています。
Q&A
Q. GenX Code Scanとは何ですか？
A. WebアプリやAPIなどのソースコードをAIで調べ、専門の監査人が確認した脆弱性をレポートにまとめる法人向けサービスです。
Q. 料金や納期は決まっていますか？
A. 料金はコードの行数、監査範囲、難易度に応じた個別見積もりです。具体的な金額や納期は発表されていません。
Q. 脆弱性の修正方法も相談できますか？
A. 修正方針の提示はオプションです。監査後は、修正したコードを再確認し、最終レポートを発行する流れになっています。
関連リンク
O!Productニュース編集部からのコメント
修正方針まで相談できるオプションは、診断後の対応を開発チームで整理するときに使えそうです。
引用元：PR TIMES
この記事の著者
O!Productニュース編集部
