Capital One、エージェンティックAIセキュリティスキャナ「VulnHunter」をオープンソース化

Capital Oneは本日、エージェンティックAIセキュリティツール「VulnHunter」をオープンソースとして公開した。これは既知の悪質なパターンをスキャンするだけでなく、攻撃者のようにコードを推論する。Claude Opus 4.8上に構築され、AIを活用したエクスプロイトの波に対するプロアクティブな防御として設計されている。

VulnHunterの違い

ほとんどの脆弱性スキャナは受動的だ。シグネチャを照合し、疑わしいパターンにフラグを立て、開発者を誤検知で溺れさせる。VulnHunterはそのモデルを逆転させる。API、メッセージキュー、ファイルアップロードハンドラなど、攻撃者がアクセス可能なエントリポイントから開始し、アプリケーションロジック、データ変換、セキュリティチェックを前方にトレースする。実際の敵対者がたどる正確な経路をシミュレートするのだ。

このツールには、自身の発見を積極的に反証しようとする反証エンジンが含まれている。潜在的な脆弱性を表面化させた後、成立しない前提、エクスプロイトパスの論理的ギャップ、攻撃を阻止する条件を検索する。この内部チャレンジを生き残った発見のみが開発者の画面に届く。これは、従来のスキャナを悩ませるノイズを最小限に抑えるための意図的な設計選択である。

エビデンスに基づく修復

欠陥が反証チェックを通過すると、VulnHunterは単にアラートを発するだけではない。コードベース全体から裏付けとなる証拠を収集し、エクスプロイトパス全体をマッピングし、ターゲットを絞ったコード変更を生成する。開発者は、欠陥の明確な説明、攻撃者が得る具体的な能力、そして提案された修正案をすべてレビュー可能な状態で受け取る。

開発者体験を最優先

Capital Oneは、VulnHunterを開発者ファーストの考え方で構築し、出荷を遅らせる別のセキュリティゲートを追加するのではなく、摩擦を減らすことを目指したと主張している。このツールはClaude Codeスキルとして実装されており、既存のClaude Codeワークフローに統合される。開発者は、別のセキュリティダッシュボードにコンテキストを切り替えることなく、リポジトリに対して実行し結果を得ることができる。

検証と入手方法

オープンソースリリースの前に、Capital Oneは数十のビジネス領域にわたる数千の自社リポジトリでVulnHunterを実行した。従来は多大な手動トリアージを必要としていた発見が、今では検証済みで実行可能な結果を迅速に生成すると報告している。

VulnHunterは現在、Apache License 2.0のもとでGitHubから入手可能である。実行するには、Claude Opus 4.8へのアクセスと動作するClaude Code環境が必要となる。リポジトリには、クイックスタートガイド、アーキテクチャドキュメント、注釈付きのサンプルワークフローが含まれている。チームは既知の制限事項とアクティブな開発ロードマップも文書化している。

初期実装はClaudeモデル向けに最適化されているが、フレームワークは他のコーディングハーネスや基盤モデルに適応可能なように設計されている。バグ報告、推論ワークフローの変更、モデルサポートの拡張など、コントリビューションを歓迎する。