脆弱性検出のためのカスタムハーネス構築

本記事は、AIモデルに依存しない脆弱性検出ハーネスの構築方法について解説している。従来の単一モデルやエージェントベースのアプローチでは、コンテキストウィンドウの限界、状態管理の欠如、リポジトリ間の依存関係の追跡困難性といった課題があった。これに対し、モデルを交換可能なコンポーネントとして扱う「ハーネス」というアーキテクチャを提案。このハーネスは、発見(Discovery)、狩猟(Hunt)、検証(Validate)といった複数の段階から構成され、各段階で異なるAIモデルを活用することで、脆弱性の網羅性と信頼性を高める。具体的には、状態管理を外部化し、永続性、重複排除、再開可能性を確保することで、大規模なコードベース全体での脆弱性検出と追跡を可能にする。また、発見された脆弱性は、単なるテキスト記述ではなく、実証可能なProof of Concept(PoC)と修正パッチと共に提供されることで、信頼性の高いトリアージを実現する。このアプローチにより、言語に依存せず、大規模なコードベース全体にわたる脆弱性管理が可能になるとしている。