論理的欠陥を検出する AIエージェント
SonarQubeプロジェクトを詳細に分析するAI搭載エージェントで、従来の分析手法では検出できなかったアクセス制御、ビジネスロジック、認証に関する欠陥を洗い出します。
SonarQube Hunter Agent — 概要
すべての脆弱性がコードのバグとは限りません
攻撃者はコードを破る必要はありません。意図されていない方法で使うだけでよいのです。
権限昇格は、目立たない形で潜んでいます
コード上は何も問題がないように見えても、一般ユーザーが管理者権限を取得できてしまうことがあります。
ビジネスロジックの悪用
クーポンの重複適用、ワークフローのステップのスキップ、レート制限の欠如。スキャナーにとって、これらは脆弱性には見えません。
レビューが追いつかない
AI生成コードは、人間によるレビューサイクルがカバーできる速度を上回るペースでリリースされます。
ペンテストは年2回
次回の実施までの間にリリースされたものは、未検証のまま本番稼働します。
SASTとHunter Agent、ひとつのプラットフォームで。
アルゴリズム分析とエージェントによる推論は、それぞれ異なる種類の脆弱性を検出します。両方を併用することで、そのギャップを埋めます。
既知およびパターンベースの脆弱性
- インジェクションと安全でないデータフロー
- ファーストパーティコードおよびオープンソース依存関係コードにおける既知のCVE
- シークレット検出
- コミットごとに実行され、一貫性と再現性を確保
意図ベースの脆弱性
- アクセス制御の不備とIDOR
- ビジネスロジックの欠陥
- 認証およびセッションの不備
- 意図に関する、コードベース全体を対象とした深い推論
セキュリティ研究者のように、プレイブックで探索します。
プレイブックとは、Sonarのアプリケーションセキュリティに関する専門知識を凝縮した、一連の専門的なセキュリティプロンプトの手順です。エージェントはこれをコードベース全体に対して実行し、問題が実在すると証明できるまで手がかりを追跡します。
Authorization bypass through user-controlled key
Raised by Hunter Agent
The code is valid. The intent is not: any user can read another tenant's invoice.
1. 探索
エージェントはコードベース全体を探索し、ファイルをまたいでデータやIDのフローを追跡します。コード監査を行う研究者と同じように、意図と実装が乖離している箇所について仮説を立てます。
2. 確認
疑わしい脆弱性はすべて、表示される前に調査・検証されます。トリアージが必要な誤検知の山ではなく、精度の高い検出結果を受け取れます。
3. 説明
各検出結果には、重大度、重要である理由のわかりやすい説明、正確な場所が付属します。開発者は解析し直すことなく、数分で対応できます。
4. 統合
確認済みの検出結果はSonarQubeの課題リストに登録されます。タグ付けされた状態で、チームが普段使っているワークフローの中でトリアージ、割り当て、修正を行えます。
1つのプレイブックで、3種類の欠陥を。
CWEリストは代表例であり、すべてを網羅するものではありません。SonarQube Cloudがサポートするすべての言語で動作します。
アクセス制御の不備
IDOR、認可チェックの欠落または不備、権限昇格、機密データの露出、クロスサイトリクエストフォージェリ。
ビジネスロジックの欠陥
必須のワークフローステップのスキップ、繰り返し可能な操作の悪用、レート制限の欠如。
認証とセッション
認証の不備、セッション固定、有効期限のないセッション、脆弱なパスワード回復、MFAの欠如、ブルートフォース対策の不備。
設計段階からの多層セキュリティ。
SAST、SCA、Hunter Agentが連携して効果を発揮する理由は、あらゆる多層防御と同じです。それぞれが、他方では検出できないものを捕捉します。Sonarはこれらを検証ステージ全体で組み合わせるため、単一のチェックにコードベース全体の信頼性を委ねる必要がありません。
多層的な検証
アルゴリズムによる検証、推論エージェント、CIパイプラインは、それぞれ他方では検出できないものを捕捉します。多層的なカバレッジは、単一のツールよりも格段に優れています。
独立性とゼロトラスト
コードをレビューするエージェントは、コードを書いたエージェントではありません。異なる手法、明確な職務分掌、そして監査可能で再現可能な検出結果を提供します。
ワークフローに組み込み
チームとエージェントのリリース速度に合わせてスケールする検証を、レビュー担当者を増やすことなく実現します。検出結果はSonarQubeの課題として登録され、新たにインストールするものはありません。