Chainguardは、AIを活用した自己修復型のソフトウェアサプライチェーンプラットフォームの規模を拡大し続けており、コンテナビルドマニフェストの累計件数が10億件を突破しました。これは6か月前の5億件から倍増したことになります。
この節目には、3,000種類を超えるユニークなコンテナイメージと675,000件のイメージバージョンが含まれており、上流のコード変更、依存関係、アーキテクチャ、セキュリティ要件が絶えず変化する中で、クラウドネイティブなアーティファクトを最新の状態に保つことの難しさを物語っています。
ビルドマニフェストとは、Chainguard Factoryが生成する検証可能な新しいアーティファクトそれぞれを指します。これには、新たにリリースされた言語イメージ、libcパッチによって引き起こされた再ビルド、アーキテクチャ固有のバリアント、依存関係の更新後に再生成されたソフトウェア部品表(SBOM)などが含まれます。
Pythonのように利用頻度の高いプロジェクトでは、サポート対象の複数バージョンが複数のアーキテクチャにまたがって存在するため、上流パッケージの変化に伴って再ビルドを繰り返す必要があります。
同社によれば、この継続的な再ビルドモデルは、従来型の脆弱性管理における重要なギャップに対応するために設計されているとのことです。イメージを最初にプル(取得)した時点だけセキュリティを確保するのではなく、Chainguardはライフサイクル全体を通じてイメージが再ビルド・署名・更新され続ける状態を目指しています。
Chainguardのビルドパイプラインは、クラウドネイティブなワークロードと継続的なソフトウェア配信のために設計された同社独自のLinuxディストリビューション、Chainguard OSから始まります。
長い周期でリリースされる従来型のディストリビューションとは異なり、このプラットフォームはオープンソースエコシステムからのセキュリティ・機能・パフォーマンスに関する更新を継続的に取り込んでいきます。
Chainguard Factoryが生成するアーティファクトはソースからビルドされており、SLSAレベル3の来歴情報、Sigstore署名、完全なSBOMを備えています。
同社は、隠れた状態や設定のドリフトを減らすために宣言的で再現可能なビルドに依存しており、これにより上流の変更に応じてイメージを一貫して再生成できるようにしています。
しかし、カタログ規模が大きくなるにつれ、再現性だけでは不十分であることが判明しました。Chainguardによれば、従来のイベント駆動型Factoryアーキテクチャは、依存関係やパッケージ間の関係が拡大するにつれて、重複作業、脆弱なキュー、失敗したタスク、運用上のオーバーヘッドといった問題に次第に悩まされるようになったといいます。
同社はこうして生じたサイクルを「CVEのどん詰まりループ」と呼んでいます。エンジニアたちは、パッチ配信を加速するのではなく、ビルドシステムの劣化を修復することに多くの時間を費やしていたのです。
こうした限界に対処するため、Chainguardはオープンソースのエージェント型フレームワーク「DriftlessAF」を基盤とするFactory 2.0を導入しました。
個々のイベントに個別に反応するのではなく、このシステムはイメージカタログのあるべき状態と実際の状態を継続的に比較し、そのギャップを埋めるための作業を起動します。
このギャップは、CVEが公開されたとき、上流でパッケージがリリースされたとき、依存関係が変化したとき、あるいは新たな堅牢化要件が追加されたときなどに発生し得ます。
リコンサイラーボット(調整ボット)は共有キューから作業を取得し、構造化された検証可能なツールを使ってアーティファクトのビルド、検証、署名、公開を行います。
AIは、新たに導入されたコンポーネントの評価、古いリリースへの修正のバックポート、過去の修復成功事例から得られた知見の適用など、従来の手法では完全な自動化が難しい判断力を要する作業に活用されています。
Chainguardによると、このシステムはエージェントが明確に定義された最終状態に向かって作業するよう意図的に設計されており、失敗したタスクがあっても全体のプロセスを頓挫させることなくリトライできるようになっています。
この取り組みは、攻撃者がAIを使って脆弱な依存関係を特定し、攻撃経路を分析し、エクスプロイト開発を加速させるケースが増える中で進められています。こうした環境下では、上流でパッチが公開されてからコンテナイメージが更新されるまでの時間が、重要なセキュリティ指標となります。
リコンサイル(調整)駆動型のビルドシステムを拡大することで、Chainguardは数千にも及ぶ相互依存プロジェクト群全体にわたって、この露出時間を短縮することを目指しています。
同社は今後、リコンサイラーボットの追加、作業キューに供給される情報源の拡大、そしてコンテナカタログのより多くの部分を自己修復型のFactory 2.0モデルへ移行することを計画しています。
セキュリティチームに、不審な活動を迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/chainguard-hits-1-billion-container/
