脆弱性の検出からAIによる修正提案・検証、マージ可否の判定までをブラウザだけで。金融水準の検出ルールと監査性を、無料のWebシステムとしてすべての開発者に提供します。
脆弱性を早期に発見したいが、静的解析ツールは高価で、導入のハードルが高い。
TF-AI Code Securityは無料のWebシステム。アカウント登録のみで、その日から29種の検出ルールによる解析を開始できます。
誤検知が多くて開発者が疲弊し、静的解析が定着しない。
tree-sitterによるAST文脈解析で、コメント・文字列リテラル内の検知を自動抑制。実行コード上の検出はAIが信頼度と根拠を付けてトリアージします。
検出はできても、修正方法がわからず対応が滞る。修正が正しいかの確認も負担。
AIがUnified Diff形式の修正案を生成し、パッチ適用→構文チェック→再解析→回帰確認の検証パイプラインで合否まで自動判定します。
TF-AI Code Security(ティーエフ エーアイ コードセキュリティ)は、ソースコードに潜むセキュリティ脆弱性をAIが静的解析し、修正提案から検証、マージ可否のゲート判定までを一気通貫で支援するSAST(静的アプリケーション・セキュリティ・テスト)プラットフォームです。金融・保険業界の要件を想定した検出ルールと監査機能を備えながら、無料のWebシステムとして提供します。
標準+金融パック計29ルール・14言語+設定ファイルに対応。AST文脈解析が誤検知を抑制し、AIトリアージが信頼度・根拠・想定攻撃経路を提示します。
ワンクリックでUnified Diffの修正案を生成。検証パイプラインが修正の妥当性を機械的に確認し、「承認のうえ適用できる」状態まで運びます。
未解決のCritical/Highがあればマージ不可と判定。例外承認・ルール変更は職務分掌を強制し、全操作をハッシュチェーンで改ざん検知可能な監査ログに記録します。
検出・修正・統制の各機能について説明します。
tree-sitterによる構文木解析で、コメントや文字列リテラル内のパターン一致を自動的に抑制します。実行コード上の呼び出し文脈が確認できた検出は信頼度を引き上げて報告するため、開発者は本当に対応すべき指摘に集中できます。パース不能なファイルはパターン解析へ自動フォールバックし、解析が止まることはありません。
| カテゴリー | 検出内容 |
|---|---|
| インジェクション | SQLインジェクション(文字列連結/補間)、コマンドインジェクション、eval等の危険なデシリアライズ |
| 秘密情報 | APIキー・パスワード等のハードコード、個人情報の平文取り扱い |
| Web | クロスサイトスクリプティング(XSS)、SSRF、TLS検証の無効化 |
| メモリ安全性 | 境界チェックのないバッファ操作、危険なメモリ関数の使用(C/C++) |
| 設定・IaC | Dockerfile・Kubernetes YAML・Terraformの危険な設定(特権コンテナ、公開ストレージ等) |
| 金融パック | 取引金額の境界検証欠落、テナント境界の検証不備、認可チェック欠落、監査ログ欠落、冪等性キー欠如 |
14のプログラミング言語に加え、インフラ構成ファイルの解析にも対応しています。
検出した脆弱性に対し、AIがUnified Diff形式の修正案を生成します。修正案は次の4段階の検証パイプラインで自動確認され、合格したものだけが「承認のうえ適用可能」となります。
Git URL(clone)・Subversion(SVN)・ローカルフォルダの3方式でリポジトリを接続できます。GitHub互換WebhookによるPull Request作成・更新時の自動解析、PRへのセキュリティサマリコメント投稿、修正案からのDraft PR自動作成に対応。通知はアプリ内に加え、Slack互換Webhook・Microsoft Teams・メールへ配信できます。
インストール不要のWebシステムです。ブラウザからリポジトリを接続すると、サーバ側の解析エンジンがソースコードを取得・解析し、結果をダッシュボードに表示します。
インストール不要。ダッシュボードで解析結果・修正案・リスク指標を確認し、例外申請や承認などの統制業務もブラウザで完結します。UIは日本語・英語・中国語・韓国語・ポルトガル語・スペイン語の6言語に対応。
接続したリポジトリをサーバ側でclone/checkoutし、ルールエンジン+AST文脈解析+AIトリアージのパイプラインで解析します。同一コミットへの再実行は既存結果を再利用(冪等)します。
メールアドレスによる登録のほか、Google/MicrosoftアカウントによるSSOログインに対応。退会時はシステム上の個人情報を完全に削除します。
メールアドレス等の個人情報と、検出根拠のコード断片・修正パッチなどの機密情報は、データベース上で暗号化して保存します。APIトークン・Webhook秘密鍵も暗号化保管します。
導入から運用まで、3ステップで利用できます。
Git URL・SVN・ローカルフォルダのいずれかでリポジトリを接続し、「解析を実行」。数十秒で結果が表示されます。
Finding詳細で重大度・信頼度・根拠・想定攻撃経路・該当コードを確認。「AI修正案を生成」→「検証を実行」で修正の妥当性まで自動確認します。
未解決のCritical/Highが残る間は「マージ不可」と判定。検証済み修正と承認済み例外だけがゲートを通過し、脆弱なコードのリリースを防ぎます。
検出するだけでなく、組織としての統制・説明責任までを支援します。
例外承認・ルール変更承認は申請者本人には行えません。ルール変更はサンドボックス評価(変更前後の検出件数比較)を経て、別の管理者の承認で版管理のうえ反映されます。
ログイン・解析・承認・エクスポートまで全操作をハッシュチェーンで連結して記録。ワンクリックでチェーンの整合性を検証でき、監査報告書PDFも出力できます。
監査イベントはCEF(Common Event Format)形式でエクスポートでき、Splunk等のSIEM製品へそのまま取り込めます。CSV/JSON出力にも対応します。
テナント分離、CSRF対策、ログイン・登録・解析のレート制限、個人情報・機密情報のDB暗号化など、公開Webシステムとしての堅牢化を実施しています。
※本サービスは無料のWebシステムとして現状有姿で提供されます。ご利用の際はサイト内の免責事項をご確認ください。