JFrog（ジェイフロッグ）は、ソフトウェアサプライチェーントラフィックコントローラーを発表した。これは、全てのパッケージダウンロードをJFrog ArtifactoryとJFrog Curation経由でルーティングし、主要なSASEプロバイダーであるZscaler、Cloudflare、Netskopeと統合するように設計されたネットワーク層の強制機能だ。同社はこのソリューションを、ソフトウェアパッケージとAIアセットの信頼できる唯一の情報源を構築しつつ、監視されていないダウンロードが開発者のマシンに到達するのを防ぐ方法として位置付けている。
JFrogは、2026年のソフトウェアサプライチェーンセキュリティーに関する現状報告の中で、悪意のあるパッケージが前年比451%増加し、17万1000件以上の固有の事例が確認されたと指摘。この報告によると、悪意のあるパッケージの検出機能を導入している組織はわずか40%、機密情報の検出機能を有効にしている企業は28%に過ぎず、サプライチェーンにおける脅威の頻発に対する防御体制のギャップが浮き彫りになっている。
今回の発表では、現代の脅威は既知の悪意のあるパッケージにとどまらないことが強調された。JFrogは、Claude Code、Cursor、Copilot、KiroといったAIコーディングエージェントが、開発者のマシンから依存関係の取得、ライブラリーのインストール、ビルドのトリガーを自律的に実行できると指摘。これらのエージェントは、プロキシー設定、承認済みパッケージリスト、パイプライン制御をしばしば回避する。同社は、こうしたエージェント主導のワークフローと、新たに明らかになった脆弱性に対する攻撃の迅速化が相まって、環境に入る全てのソフトウェアコンポーネントが可視化され、適切に管理されていない限り、組織は危険にさらされる可能性があると警告した。
トラフィックコントローラーは、ポリシーに違反するリクエストを即座にブロックするのではなく、送信パッケージリクエストを透過的にArtifactory経由でルーティングし、そこでJFrog Curationが各パッケージを設定されたセキュリティー、ライセンス、および品質ポリシーに照らして評価すると説明されている。同社は、ポリシーに準拠したパッケージは中断なく配信され、悪意のあるパッケージは停止され、安全で承認されたバージョンが利用可能になった時点で自動的に提供されるため、開発者の生産性を維持しながらポリシーを遵守できると説明している。
JFrogは、この統合戦略を、パッケージのインテリジェンスをネットワークのエッジまで拡張する方法として位置付けている。共同創業者兼CEOのShlomi Ben Haim氏は、組織は全てのパッケージが信頼できる単一の記録システムを経由するようにするための普遍的な制御ポイントを必要としており、それによって開発者のワークフローを中断することなくポリシーを管理および適用できると述べた。最高戦略責任者のGal Marder氏は、Cloudflare、Netskope、Zscalerとのネイティブ統合により、既存のセキュリティーインフラストラクチャーを使って適用が可能になり、バイパスを防止することを目的としていると述べている。
発表の中で顧客事例として挙げられたのは、Adyen社がソフトウェアサプライチェーンをJFrogプラットフォーム上に統合し、JFrog Curationをリアルタイムファイアウォールとして利用して、パイプラインに侵入する悪意のあるオープンソースパッケージをブロックしているという事例だ。Adyen社のDevSecOpsスペシャリストは、Curationをポリシー主導型の防御システムであり、開発者がワークフローを中断することなく作業を継続できるものだと説明したと伝えられている。
JFrogは、JFrog Curationを通じて利用可能な初期ゲートウェイセキュリティー統合として、サプライチェーンパッケージトラフィックの識別とキュレーションを行うZscaler Internet Access（ZIA）、パブリックレジストリトラフィックのTLS検査を有効にし、パッケージリクエストをArtifactoryにリダイレクトするファイアウォールポリシーを適用するCloudflare Gateway、そして開発者エクスペリエンスのためにブラウザーパススルーを維持しながらパッケージマネージャートラフィックをJFrog経由でリダイレクトするリアルタイム保護ポリシーを適用するNetskope One SSEを挙げた。同社によると、今後さらに多くのSASEパートナーのサポートが追加される予定だという。
出典：JFrog
この製品の詳細については、JFrog製品ページをご覧ください。
