マージされた修正で完了するセキュリティ対策
Coroidはリポジトリ内の脆弱な依存関係、漏洩した認証情報、脆弱なコードを検出し、一覧で管理した上で修正用のプルリクエストを作成します。チームがレビューしてマージします。
問題の発見はもはや難しい作業ではありません
AIのモデルは人間よりも速く脆弱性を検出します。重要なのは確定した修正がいかに早くマージされ、稼働することです。
AnthropicのProject Glasswingは初めての7週間で1万件以上の重大な脆弱性を報告。
出典: Help Net Security、2026年5月26日2026年10月2日までに、Project Glasswingが公開した6,157件の脆弱性のうち516件が修正された。
出典: Project Glasswingのパッチ未適用状況Cloud Security Allianceによると、CVEの28.3%が公開後24時間以内に悪用される。
出典: Cloud Security AllianceOpenAIのDaybreakも同様の考え方：検出結果を隔離環境で検証し、レビュー用のパッチを生成し、適用は人間が決定する。
出典: OpenAI
これらの数値は各プログラムや研究者の結果であり、Coroidのものではありません。だからこそCoroidのセキュリティ機能は修正を目的として構築されています。
1時間以内にすべてのロックファイルを照合します
Coroidは各プロジェクトがインストールするすべてのパッケージを把握し、アドバイザリが公開されてから1時間以内に新しい警告と照合します。ファイルが完全に読み取れない場合は、その旨が表示されます。
脆弱な依存関係漏洩したキー、偽装パッケージ、削除されたガードの有無をすべての変更内容で確認します
pull requestごと、およびCoroidのエージェントが行うすべての変更について、認証情報、存在しないまたは悪意があると報告されたパッケージ、削除されたアクセスチェックがチェックされます。変更によって導入される内容は、誰かがマージする前にチェック結果として確認できます。
コードスキャンとセキュリティレビュー判断の基準
- 黙って承認されることはありません
- クリーンな結果は完全なスキャンが行われた場合のみ有効です。部分的なカバレッジ、失われた権限、遅延したアドバイザリデータは表示され、修正済みとはみなされません。
- デフォルトで非公開に設定
- 公開されていない脆弱性の詳細は、権限を持つ者が公開するまでCoroid内に留まります。
- マージ作業は人間が行います
- Coroidがプルリクエストを作成します。何をマージするかはチームが決定し、例外もオーナーが判断します。テスト中の変更によって決定されることはありません。
- 認証情報はそのまま保持されます
- Coroidは検出した認証情報を保持せず、動作確認のために試すこともありません。
すべてのプランで利用可能
セキュリティ対策はすべてのプランに含まれており、Freeプランでも利用可能です。AIのモデルを使用しないチェックにはクレジットやエージェント時間が発生しません。修正作業や有効化後の監査には、他の作業と同様にエージェント時間が費やされます。
プランと料金ガイドをご覧ください
各保護機能の内容、未対応の範囲、GitHubにチェックを要求する方法を説明。
- セキュリティ
Coroidのセキュリティ機能がコードおよびサプライチェーン内で監視する対象、検出結果に対して実行する処理、およびその利用料金について説明します。
- 保護機能と適用
各セキュリティ保護機能の有効化方法、ObserveとEnforceの意味、および適用が準備完了ゲートを待つ理由。
- 検出結果とそのライフサイクル
セキュリティ機能が検出結果を一つのリストにまとめる仕組み、検出結果の開閉タイミング、コード内で修正された場合とデプロイ先で修正された場合の違い、および例外の扱いについて説明します。
- 脆弱な依存関係
セキュリティ機能は各プロジェクトのパッケージを一覧化し、公開されているアドバイザリと照合します。また、完全に読み込まれるロックファイルや、pull request上で実行されるCoroidのセキュリティチェックの内容についても説明します。
- プルリクエストを修正する
Coroidが脆弱な依存関係をレビュー済みのアップグレードpull requestに変換する仕組み、その費用負担先、pull requestが含む内容、およびコードやシークレットの問題の修正方法について説明します。
- 漏洩したシークレット
セキュリティ機能が変更内容や履歴から認証情報を検出し、それらを保持せずに処理する仕組み、漏洩したシークレットがローテーション済みと確認されるまで閉じられない理由、およびその修正方法について説明します。
- 開示
Coroidが非公開の脆弱性の詳細をCoroid内に保持する仕組み、GitHubや通知、エクスポートで表示される内容、およびプライベートな修正の公開方法について説明します。
- GitHubの権限とCoroidのセキュリティチェック
Securityが使用するGitHubアプリの権限とその理由、Coroidのセキュリティチェックの動作、その要件の設定方法、およびGitHub自身のセキュリティアラートのインポート方法について説明します。