Chainguardはコンテナビルドマニフェストが10億件を突破したことを明らかにしました。6か月間で5億件から倍増した形で、AI支援型のソフトウェアサプライチェーンセキュリティプラットフォームの拡大が背景にあります。
同社は現在、3,000種類以上のユニークなコンテナイメージと67万5,000件のイメージバージョンを管理しています。この節目は、単なるビルド数の増加以上の意味を持ちます。
各ビルドマニフェストは、新規生成された検証可能なコンテナ成果物を表しています。これには新しいアプリケーションイメージ、libcパッチ適用後に再ビルドされたパッケージ、アーキテクチャ固有のバリアント、依存関係更新後に再生成されたソフトウェア部品表(SBOM)などが含まれます。
PythonやGoのように複数のバージョンとアーキテクチャに対応するプロジェクトでは、こうした再ビルドが急速に積み重なっていきます。上流のリリース、依存関係の修正、堅牢化のための改善、セキュリティアドバイザリのそれぞれが、新たなビルドの引き金になり得るのです。
Securityawareness training
Chainguard、ビルドマニフェスト10億件を達成
Chainguardによれば、この取り組みの狙いは、顧客が最初にプルした時点にとどまらず、コンテナイメージの安全性を継続的に確保することにあります。プラットフォームの基盤となっているのがChainguard OSで、クラウドネイティブなワークロードと継続的デリバリー向けに設計されたLinuxディストリビューションです。
Chainguard OSは、従来型の長期サポート版ディストリビューションのリリース方式に頼るのではなく、ローリングリリースモデルを採用しています。これにより、更新済みの成果物を一日を通して提供できます。
Chainguard Factoryは、同社のコンテナ成果物をソースからビルドし、SLSAレベル3の来歴情報、Sigstoreの署名、完全なSBOMを含むセキュリティメタデータを付与します。
このファクトリーは再現可能なビルドを生成するよう設計されており、設定のずれや、意図した成果物とユーザーに最終的に届けられるイメージとの間の不整合のリスクを低減します。
しかし、再現性だけでは10億件規模のビルドを支えることはできませんでした。同社には、依存関係にある数千のコンポーネントのうち、どれが修正を必要としているかを特定し、手動介入に頼らずビルドを開始できる仕組みが必要でした。
Chainguardはこの課題に対し、オープンソースのDriftlessAFフレームワークを基盤とするFactory 2.0で対応しました。このシステムは、これまでのイベント駆動型モデルの多くを、自己修復型の調整プロセスに置き換えています。
従来のアーキテクチャでは、個々のイベントが連鎖的な作業項目や重複したビルド失敗、脆弱なキュー、そしてサイト信頼性エンジニア(SRE)の運用負荷を生み出すことがありました。
部分的な失敗にはたびたび手動での対応が必要となり、CVEやその他のパッケージ変更への対応が遅れる原因にもなっていました。これに対しFactory 2.0は、意図するソフトウェアの状態とカタログの実際の状態を継続的に比較する仕組みを採用しています。
新たな脆弱性、上流パッケージのリリース、依存関係の更新、あるいはセキュリティ要件が発生すると、リコンサイラーボットがその差分を検出し、望ましい状態への復元に向けて動作します。
このシステムは共有の作業キューと冗長化されたタスクを利用しており、失敗したジョブを再試行したり破棄したりしても、プラットフォーム全体が意図する安全な状態へと収束していく流れを妨げません。
AIは、従来の決定論的な自動化では対応が難しい作業に活用されています。具体的には、新たに導入されたコンポーネントの評価、パッケージ変更の査定、脆弱性修正の旧バージョンソフトウェアへのバックポートなどです。
Chainguardによれば、これらのエージェントは依然として構造化された検証可能なツール群を通じて動作しており、安全性を欠くAI生成の変更が入り込むリスクを低減しているとのことです。同社は、再ビルドの速度こそがいまやサプライチェーン防御の中核であると主張しています。
攻撃者は今後ますますAIを活用し、依存関係グラフをマッピングし、脆弱性を特定し、エクスプロイトの開発を加速させていくと見られます。したがって防御側も、上流でのセキュリティ変更から、再ビルド・署名・検証済みの新しいコンテナイメージが完成するまでの時間を短縮する必要があります。
DriftlessAFを拡張し、より多くのカタログを自己修復型の調整ループへと移行させることで、Chainguardは従来のイベント駆動型ビルドシステムでは達成が難しかった規模でのセキュリティ保守の自動化を目指しています。
Securityawareness training
アクティブなマルウェアやフィッシングの発生から24時間以内に、SOCを最新の状態に保ちましょう。 ANYRUNを試して早期検知でインシデントを未然に防ぐ。
翻訳元: https://gbhackers.com/chainguard-hits-1-billion-build-manifests/
