GitHub Advanced SecurityにAI機能：脆弱性の自動修正や流出パスワード検知

コードの脆弱性を見つけること以上に厄介なのが、その修正作業です。セキュリティツールから大量の警告を突きつけられても、具体的な直し方を調べるだけで開発の手が止まってしまいます。また、開発者がコード内に紛れ込ませた平文パスワードは、従来の正規表現パターンでは検知しにくい難問でした。

GitHubは、有償機能群であるGitHub Advanced Security向けに、生成AIを活用した3つの新機能プレビューと、セキュリティダッシュボードの大幅な刷新を発表しました。

プルリクエスト上で修正パッチを自動生成

目玉となるのは、コードスキャン機能に追加された自動修正機能です。静的解析エンジンであるCodeQLがJavaScriptおよびTypeScriptのコードから脆弱性を検出すると、高度なLLMが自動的に具体的な修正コードを生成します。

修正案はプルリクエストの会話タブや変更ファイルタブに提示されるため、開発者は内容を確認してそのままコミットを取り込むか、手元で微調整してからマージできます。修正作業を開発フローの最上流に組み込むアプローチです。

また、シークレットスキャンではAIを活用したパスワード漏洩検知の限定パブリックベータが始まりました。特定の書式を持たない一般的なパスワードは従来のツールでは誤検知が多発していましたが、LLMの文脈理解により低誤検知での検知を目指します。既存の高精度アラートと混ざらないよう、検出結果は新設されたOtherタブに分類されます。

さらに、組織独自の秘密情報を検出するための正規表現ジェネレーターも追加されました。管理者が質問フォームに答えるだけでAIが正規表現を自動作成し、保存前にリアルタイムでテスト実行できます。

管理者向けにはセキュリティ概要ダッシュボードが刷新され、リスク状況、平均修復時間などの修復実績、プッシュ保護による防御実績の3軸で組織全体の傾向を可視化できるようになりました。

なぜ重要か

セキュリティ対策における最大の課題は、ツールの検知能力不足ではなく、アラート疲れによって修正が放置されることにありました。修正パッチのコードを直接プルリクエスト内に提示する仕組みは、開発者の認知的負荷を劇的に下げるため、非常に実践的だと評価できます。

JavaScriptやTypeScriptを主軸にするチームであれば、修正工数の削減効果は明白であり、早期に試す価値があります。また、コードホスティング基盤であるGitHubが検知から修正提案までを一気通貫で提供することは、サードパーティ製セキュリティツールベンダーにとって強力な対抗圧力となるはずです。

ただし、AIが提示する修正案が常に完全であるとは限りません。脆弱性を潰した結果として別のバグやパフォーマンス低下を引き起こすリスクは依然として残ります。開発者が確認を怠って安易に自動マージを繰り返せば、見えにくい不具合を抱え込む原因にもなり得ます。最終確認の責任は依然として人間のエンジニアが負うべきです。