Capital One、AI搭載のセキュリティツール「VulnHunter」をオープンソース化

金融サービス大手のCapital Oneは、社内で開発したAI搭載セキュリティツールをオープンソースとして一般公開しました。

「VulnHunter」と名付けられたこのツールは、コードレベルでソフトウェアの脆弱性を発見し修正するために設計されていますが、Capital Oneによれば従来型の受動的な脆弱性スキャナーとは一線を画すものだといいます。

Capital OneのEVP兼最高情報セキュリティ責任者(CISO)であるChris Nims氏は、LinkedInの投稿で「私たちはVulnHunterを開発者ファーストの発想で設計し、業界が抱える大きな課題、すなわち日常業務に支障をきたし作業の妨げとなる大量の誤検知(false positive)の解決を目指しました」と説明しています。

同社は「これはエージェント型の推論ワークフローによって防御ツールの在り方を刷新するものであり、悪用可能性のある欠陥を特定し、想定される攻撃経路をマッピングした上で、的を絞った的確なコード修正を提案します」と述べています。

GitHub上で公開されており、クイックスタートガイド、アーキテクチャに関するドキュメント、ツールがコードパスを追跡し修正案を生成する仕組みを示すサンプルワークフローも用意されています。ただし現時点では、利用にはClaude Opus 4.8へのアクセス権と、動作するClaude Code環境が必要です。

Capital Oneは「現代のソフトウェアサプライチェーンは互いに深く絡み合っています。広く使われているオープンソースコンポーネントに一つの脆弱性が存在するだけで、その影響は数千もの企業に同時に波及しかねません。私たちがVulnHunterをオープンソース化するのは、この課題を単独の組織で解決できるものではないからです」と述べています。「この現実に対応する防御ツールは、それが守るコードベースと同じくらい広く配布され、テストされ、改良されていく必要があります」

Capital Oneによれば、VulnHunterを社内で活用したところ、数十の事業領域にまたがる数千のリポジトリ全体で、脆弱性を迅速かつ効率的に特定し修正できたということです。