Chainguardは、新たなサイバーハーネス「Chainguard Harness」を発表しました。AnthropicのClaude Mythos 5.1のようなフロンティアAIモデルを活用し、組織のアプリケーションコードに潜む悪用可能な脆弱性を発見して修正します。Harnessは、組織のソースコードから分離されたmicroVM上でアプリケーションをビルドし、稼働中のインスタンスに対して悪用可能な脆弱性を探すようフロンティアモデルに指示します。そして、すべての検出結果を再現して確認したうえで、担当者がレビューした個別対応の修正案を提供します。
利用企業は、フロンティアモデルへ独自にアクセスしなくても、フロンティア級の脆弱性探索の恩恵を受けられます。大量のノイズを選別する必要はなく、実証済みの検出結果だけに対応すれば済みます。Chainguard HarnessはClaude Marketplaceでも提供が始まっており、顧客はAnthropicから直接購入してAI関連の支出をまとめることができます。
脆弱性の発見はもはや難しい課題ではない
フロンティアAIモデルは、悪用可能な脆弱性を見つけて連鎖させる能力が著しく向上しています。しかし、多くの組織は自社のコードにその能力を活用できていません。自社開発コードやオープンソースコードを対象に脆弱性を発見できるフロンティアモデルは、重要インフラの防御的なセキュリティ業務を担う一部の組織しか、ほとんど利用できませんでした。
スキャナーも問題を悪化させています。スキャナーは静的コードを解析するため、到達不可能かもしれない問題まで指摘する一方で、アプリケーションが実際に稼働して初めて現れるロジックの欠陥、インジェクション経路、リソース枯渇のバグは見逃します。その結果、未検証のアラートが積み上がり、エンジニアは検出結果の仕分けや独自のパッチ作成に時間とトークンを費やし、本来のリリース作業に手が回りません。Chainguard Harnessは、悪用可能で再現可能な脆弱性を発見し、オープンソースと自社開発の両方のコードに対する修正案を提供することで、このギャップを埋めます。
「Harnessをコードに適用するたび、深刻で悪用可能な脆弱性が見つかっています。何度もスキャンされてきたソフトウェアや、重要インフラを動かすコードも例外ではありません」と、Chainguard CEOのDan Lorenc氏は述べています。「この能力は、より多くの組織に広がり始めています。先に動いたチームが、問題がインシデントになる前に発見して修正できるでしょう。Harnessは、セキュリティチームにとって、実証済みの脆弱性と、エンジニアがそのままリリースできる修正案を入手するためのもう一つの選択肢になります」
実証済みの脆弱性と、自社コード向けに書かれた修正案
Chainguard Harnessは、Guardener GitHubアプリを通じてチームのリポジトリに接続し、出荷される状態そのままにアプリケーションをビルドして、分離されたmicroVM上で起動します。続いてフロンティアモデルが、静的コードを読むのではなく、攻撃者と同じように実際の文脈の中で、稼働中のアプリケーションに悪用可能な脆弱性がないかを調べます。すべての検出結果は、毎回再現されるまで新しい分離環境で再実行されるため、チームには実証済みの結果だけが提示されます。脆弱性が確認されると、Chainguardは信頼できる再現手順と、その特定のコードベース向けに書かれた修正案を併せて提供します。
Chainguard Harnessの特長は次のとおりです。
- フロンティアモデルへのアクセス不要でフロンティアAIを活用: 利用企業は、フロンティアモデルへ独自にアクセスしなくても、自社アプリケーションに対するフロンティアモデルの脆弱性探索の恩恵を受けられます。
- 実行時に潜むバグに対応: Harnessは静的コードだけでなく、稼働中のアプリケーションのコピーをテストし、実行時の文脈でのみ現れるロジックの欠陥、インジェクション、リソース枯渇を洗い出します。
- 設計段階からの分離: すべての実行は、Chainguard OS上でソースからビルドされた専用のmicroVMサンドボックス内で行われます。ネットワークの外向き通信はなく、内部に認証情報も置かず、監査ログもすべて記録します。
- 再現可能で検証済みの検出結果: すべての検出結果は、毎回再現されるまで新しい分離環境で再実行されます。これにより、誤検知やセキュリティ上のノイズを減らします。
- 自社コード向けに書かれた修正案: 自社開発コードとオープンソースの依存関係の両方に対する個別の推奨事項により、リスクの一覧ではなく、コードを安全にするための道筋を示します。
- すべての修正案を人間がレビュー: 顧客に届く前に、Chainguardのエンジニアがすべての修正案とレポートをレビューし、承認します。
- 責任ある開示を組み込み: オープンソースで見つかった脆弱性は、Chainguardの協調的脆弱性開示プロセス「Athena」を通じて、上流のメンテナーに報告されます。
提供開始時点では、Chainguardのエンジニアが顧客に代わってHarnessを運用します。具体的には、Chainguardがすでに配布している信頼されたオープンソース成果物に対してHarnessを実行し、パッチ適用済みのビルドをChainguard Repositoryから提供します。また、顧客のソースコードに対しても実行し、重大度、影響、再現手順、推奨される対処法を記載した、エンジニアがレビュー済みの検証済み検出結果レポートを提供します。
Chainguard Harnessは、AnthropicのClaude Marketplaceから利用できます。企業は、Anthropicとの既存の契約額の一部を充てて調達できます。Chainguard Harnessは、Mythos 5.1が発見した脆弱性を分離環境で再現し、すべての修正案をChainguardのエンジニアがレビューしたうえで、顧客がすぐに対応できる結果を共有します。請求はAnthropicが管理するため、Anthropicの顧客は別途の調達プロセスを経ずにHarnessを追加でき、AI関連の支出もまとめられます。
「Claude Mythos 5.1のようなモデルは、長年見過ごされてきた脆弱性を浮かび上がらせることができます。そのため、この能力をどう展開するかが、能力そのものと同じくらい重要です」と、AnthropicでHead of Commercial Cyberを務めるDaniela Hurtado氏は述べています。「Chainguard Harnessは、Mythos 5.1を分離、再現、人間によるレビューで包み込みます。これにより、防御側は恩恵を受けつつ、すべての検出結果が顧客に届く前に検証されます。企業はClaude Marketplaceを通じて、既存のAnthropicとの契約額をそのまま、こうしたリスク低減に充てることができます」
翻訳元: https://www.helpnetsecurity.com/2026/10/14/chainguard-harness/
