Harness、脆弱性のトリアージとパッチ適用を行うAIエージェントをリリース

ソフトウェア・デリバリー・プラットフォーム・プロバイダーの Harness Inc. は本日、ソフトウェアの脆弱性を発見し、パッチを作成する一連の人工知能エージェントを立ち上げました。

開発者は、出荷前に修正を承認します。AI SAST は決定論的な静的スキャナーを実行し、次に AI レイヤーを適用してノイズを除去します。Harness によると、このレイヤーは誤検知を削減し、従来のツールが完全に見落としがちな認可チェックの欠落などのロジックの欠陥を捕捉します。

残ったものは Triage Agent（トリアージ・エージェント）に送られ、ソフトウェアが悪用可能であると判断した検出結果に絞り込まれます。Remediation Agent（修復エージェント）が修正案を作成し、それを検証して、脆弱な関数に対してプルリクエストを開きます。

Zero-Day Agent（ゼロデイ・エージェント）は、新たに公開された欠陥を 24 時間体制で監視し、顧客環境全体の影響を受けるシステムにフラグを立てます。多くの場合、数分以内に検証済みの修正が準備されます。バーチャルパッチは、コードの修正が出荷されるまで本番環境での悪用をブロックします。これにはコードの変更は必要ありません。独自の大型言語モデルスキャナーを実行している顧客は、それらの結果をトリアージワークフローにパイプすることもできます。

フロンティアモデルを使用する攻撃者は、公開されてからわずか 6 時間で動作するエクスプロイトに移行できると同社は述べています。平均的な脆弱性の修正には 50 日以上かかります。Harness によるテストでは、フロンティアモデルが従来のスキャナーよりも約 10 倍多くの脆弱性を表面化させることが判明しました。ほとんどのセキュリティチームには、それほど多くの出力を処理する現実的な方法がないと同社は主張しています。

このリリースは、Claude Mythos Preview にちなんだ「Mythos クラス」のモデルを呼び出します。Anthropic PBC は、ソフトウェアの脆弱性の発見と連鎖が非常に優れているため、そのモデルを一般公開していません。防御側は since April（4月以来）、Project Glasswing を通じてアクセスできています。

共同創設者兼最高経営責任者（CEO）の Jyoti Bansal 氏は、攻撃者は Harness の顧客がソフトウェアを迅速に出荷するのを支援するのと同じモデルを使用していると述べています。セキュリティは「デリバリーパイプライン自体の第一級の構成要素」にならなければならないと彼は語りました。現在、業務は、切り離されたスキャン、チケット発行、デプロイシステムの間の引き継ぎで停滞しています。

Harness のアプリケーションセキュリティ担当ゼネラルマネージャーである Rahul Sood 氏は、エージェントはすべて 1 つの到達可能性データのセットを利用していると述べました。これにより、チームはそもそも悪用可能ではなかった検出結果に煩わされずに済むようになると彼は言います。発見から修正のデプロイまでの期間は「数週間から数時間」に短縮されるはずだと彼は付け加えました。