Replit（レプリット）は、AIを活用したツール「Security Agent」を発表した。このツールは、アプリケーションの包括的なリリース前セキュリティーレビューを1時間以内に実施するように設計されている。新しいエージェントは、開発中に脆弱性を自動的にスキャンし、依存関係を監査する既存の保護機能を基盤としている。
コーディングエージェントが登場する以前は、ローンチ前のセキュリティーレビューには、セキュリティーエンジニアとの数週間にわたる調整、レポートのレビュー、手動による修正作業が必要となることが多かった。Security Agentは、カスタマイズ可能な脅威モデリングプランを実行することで、プロジェクト公開前にコードベース全体と表面的な依存関係をレビューし、このプロセスを短縮することを目指している。
このエージェントは、SemgrepとHoundDog.aiをツールとして活用し、分析結果の精度を向上させるハイブリッド分析アプローチを採用している。Semgrepの製品責任者であるDaghan Atlas氏は、最も効果的なセキュリティーはシームレスに機能するものであり、LLMのコンテキスト推論とSemgrepの決定論的プログラム分析を組み合わせることで、Replitのビルダーコミュニティーにとって何が可能になるかを示すことができると述べている。
Security Agentは、アプリケーションアーキテクチャーのマッピング、脅威モデルの構築、ルーティングとAPIの分析、SQLインジェクション、クロスサイトスクリプティング、リクエストフォージェリなどの一般的な脆弱性のチェックを行い、特定された問題が本番環境で悪用可能かどうかを検証する。大規模なプロジェクトの場合、潜在的な脅威を幅広く網羅するために、詳細監査フェーズには最大15分かかる場合がある。
Replitは、LLMベースのエージェントが、決定論的な静的アプリケーションセキュリティーテスト（SAST）ツールによって生成される誤検出の最大93.3%を特定できることを示す最近の研究を指摘し、同社の観測結果もこれらの研究結果と一致していると述べた。同社はまた、静的コード分析ツールは、AIエージェントのツールとして使用されることで、より価値が高まることを強調した。
スキャンを開始するには、プロジェクトのセキュリティーパネルを開き、「Run Scan with Agent」を選択する。レビューが完了すると、Security Agentがレポートを生成し、ユーザーはそのレポートを確認、無視、または修正できる。承認された問題は、修復のためにReplit Agentに転送できる。システムは脆弱性を自動的に個別のタスクに整理して並行修正を可能にし、提案されたパッチはプロジェクトのメインブランチに適用する前にレビューできる。
修正が適用されると、セキュリティーパネルに脆弱性が対処済みだが再公開待ちとして表示される。Replitは、本番環境に変更が反映されるようにプロジェクトを再公開することを推奨している。また、Replitは、大きな変更が公開されるたびにSecurity Agentのスキャンを実行することを推奨している。同社は、プロジェクト向けの追加のセキュリティー制御が近いうちに展開される予定としている。
出典：Replit
この製品の詳細については、Replit製品ページをご覧ください。
