2026年版 SAST（静的アプリケーションセキュリティテスト）ツール12選を比較：機能と料金
GitHub環境ではGitHub CodeQLが標準で利用できるベースラインとなります。開発者重視の分野ではSnyk CodeとSonarQubeが先行し、エンタープライズ向けの評価ではCheckmarx、Veracode、Fortifyが中核を占めます。 本稿では、バンドル型、開発者向け、
タグ: AIコードレビュー
GitHub、AIコードレビューの性能を測る「ReviewBench」を公開
GitHubの「ReviewBench」は、ソフトウェアのリリース前に、AIコードレビューツールがどれだけ問題を検出できるかを測定するベンチマークです。同サイトでリサーチプレビューとして公開されており、ユーザーはレビューエージェントを比較したり、自社ツールを評価したりできます。 コードレビューとは、提
新手法「GhostCommit」、画像内にエクスプロイトを隠してAIコードレビュアーを回避
研究者らは、プルリクエストに含まれる画像内に悪意のある指示を隠すプロンプトインジェクション手法「GhostCommit」を明らかにしました。この手法は、テキストのみを対象とするAIコードレビュアーを回避し、後にコーディングエージェントを操ってリポジトリのシークレットを流出させる可能性があります。 ASSET Rese
「Ghostcommit」、画像にプロンプトインジェクションを隠しAIエージェントを欺いて機密情報を窃取
研究者らは、AIコードレビューアーが決して開かないPNG画像の中に悪意ある指示を隠すことで、リポジトリの機密情報を盗み出すプルリクエストを作成しました。 レビューアーはこの変更を問題なく通過させます。その後、コーディングエージェントがこの画像を読み込み、リポジトリの.envファイルを開き、すべてのキーを一見無害な数値
Claude Codeが脆弱性検出のための無料セキュリティプラグインを取得
Anthropicは、Claude Codeターミナルツール向けに専用のセキュリティガイダンスプラグインを公開した。これによりリアルタイムかつセッション内での脆弱性検出と修正が可能となり、コードがプルリクエストに到達する前にセキュリティをシフトレフトできる。 このプラグインは現在、すべてのClaudeプランの全ユーザ
Anthropicがセキュリティ脆弱性を検出する無料のClaude Codeターミナルプラグインを公開
Anthropicは、AIが生成したコードをセッション内で継続的にレビューし、プルリクエストやCIパイプラインに到達する前にセキュリティ脆弱性を検出・修正する無料のClaude Codeターミナルプラグイン「security-guidance」を公開しました。 多層防御戦略における軽量かつ強力なレイヤーとして設計され