Chainguard、AIコーディングエージェントのセキュリティを強化するWorkspacesとChecksを発表

AIコーディングエージェントは有用な修正を作成できる一方で、その過程でセキュリティインシデントを引き起こすこともあります。侵害された依存関係をインストールしたり、信頼できないコンテンツに埋め込まれた指示に従ったり、タスクに必要な範囲をはるかに超えるアクセス権を与える認証情報を使ってコマンドを実行したりする可能性があります。チームがより多くのエージェントを並行して稼働させるようになると、生成されるコードの保護は問題の一部にすぎません。

Chainguardは、開発者やコーディングエージェント向けの隔離環境であるWorkspaces、エージェント開発のループ内で動作するよう設計された検証エンジンであるChecks、さらに多くのプログラミング言語への対応と脆弱性修正を含むLibrariesの保護機能拡張という3つの発表を、Assemble Londonで行い、こうしたより広範なリスクへの対策に取り組んでいます。

今回の発表は、企業がますます答えを求められる3つの問い、すなわちエージェントがどこで実行されるのか、その作業をどう検証するのか、そしてどの外部ソフトウェアを組織に取り込めるのかに対応するものです。WorkspacesとChecksはベータ版として提供が始まり、新たなGoおよび.NET向けLibrariesはアーリーアクセスに移行します。

各コーディングエージェントを隔離する

Chainguard Workspacesでは、開発者と各エージェントに個別のリモートmicroVMが割り当てられます。この環境は開発者のローカルの作業ツリーと同期するため、実行はマシンの外部で行いながら、使い慣れたエディターとGitのワークフローを維持できます。また、個別の環境を使うことで、複数のエージェントが同じ作業環境を共有せずに、並行して変更を試みることもできます。

この違いが重要なのは、コマンドの実行、パッケージのインストール、サービスへのアクセスといったエージェントの有用な機能が、侵害につながる経路にもなり得るためです。エージェントへの指示に記載したポリシーは、エージェントがそれに従うことを前提としています。一方、実行環境によって強制される境界があれば、モデルが誤った判断をした場合でも、実行される内容を制限できます。

リリースによると、実際の認証情報はワークスペースの外部から注入されます。ディスク上の認証情報を必要とするツールには、暗号化された短期間有効の代替情報が渡されます。任意で設定できる送信トラフィックのポリシーは、承認済みの接続先への外向き通信を制限し、侵害された依存関係やプロンプトインジェクションを受けたエージェントが別の場所へデータを送信する能力を抑えます。

これらの制御は、それぞれ異なるリスクに対処します。ハードウェアによる隔離はワークロードを分離し、認証情報の仲介は再利用可能な秘密情報がエージェントに届かないようにし、ネットワークポリシーは通信先を制限します。ただし、その有効性は、組織が承認する権限と接続先に左右されます。隔離しても、許可されたすべての操作が無害になるわけではありません。

各環境ではChainguard OS Packagesを使用し、実行時に依存関係をロックファイルと照合して検証します。Chainguardの既存のOS Packagesサービスは、継続的に保守されるパッケージを提供し、それらをソースコードからビルドするとともに、ソフトウェア部品表を含めています。こうした基盤から、同社のアプローチが見えてきます。すなわち、管理されたソフトウェア基盤を、エージェントが実行される環境にまで広げることです。

Workspacesは、環境、コードの変更、チェック結果を網羅する署名付き記録も生成します。これによりセキュリティチームは、セッションについてエージェント自身が作成した要約だけに頼らず、エージェントが何をしたのかを調査できます。

エージェントの作業ループに検証を組み込む

コード生成は速くても、検証済みコードに至るまでの過程には時間がかかることがあります。エージェントが変更を加えて継続的インテグレーションに提出すると、実行環境が準備されるまで待たされ、その後、作業時のコンテキストが移り変わった段階で失敗の通知を受けます。複数のエージェントでこのプロセスを繰り返すと、キューが長くなり、環境構築作業が重複する可能性があります。

Chainguard Checksは、ツール呼び出しとして検証をそのループ内に組み込みます。Workspacesと組み合わせると、チェックの実行中はエージェントのセッションが一時停止し、構造化された失敗ログがコンテキストに追加された状態で再開します。想定されるワークフローは反復型です。変更を加え、チェックを実行し、失敗を確認して再度試したうえで、結果を引き渡します。

ウォームスナップショットには依存関係が事前にインストールされており、ロックファイルが変更されると再構築されます。各ワークフローのステップは、それぞれ独立したハードウェア隔離型microVMで実行されます。また、リリースでは、ホスト側から送信リクエストに短期間有効な認証情報を注入する仕組みと、ネットワークアクセスに関する宣言型ポリシーについても説明されています。

チェックに合格すると、環境、テスト結果、コミットを関連付ける署名付き証明書が生成されます。Chainguardによると、後続のマージゲートはその証拠を検証し、同じテスト一式を再実行せずに結果を受け入れることができます。

これは、証拠を伝えることと、テストに合格したというエージェントの主張だけを伝えることの有用な違いです。証明書があれば、どの環境で、どのコミットに対して、どのチェックが実行されたのかを示せます。しかし、テストが重要な挙動をすべて網羅していたことや、合格した変更がすべてのセキュリティ要件を満たしていることまでは証明できません。チームには引き続き、適切なテスト、信頼できる検証ポリシー、そして人の判断が必要な場面でのレビューが求められます。

Chainguardは、この設計により結果を数秒で返し、重複するコンピューティング処理を減らせると述べています。一方、発表資料には、あらゆるリポジトリで普遍的な速度向上やコスト削減が得られることを示す、独立した検証済みのベンチマークは記載されていません。

エージェントが取り込む依存関係を保護する

3つ目の発表では、オープンソース言語の依存関係を対象としたマネージドカタログとエンドポイントを提供するChainguard Librariesを拡充します。既存のサービスは、アーティファクト管理ツールや開発ワークフローに組み込めるよう設計されており、Chainguardがビルドしたパッケージについて、来歴情報と署名付きソフトウェア部品表を提供します。

新しいGoエンドポイントには、マルウェアとグレーウェアのスキャン、設定可能なパッケージポリシー、CVEへの修正対応が含まれます。.NETエンドポイントは、スキャンとポリシー管理機能を備え、NuGetを直接利用する方法に代わる選択肢を提供します。両エンドポイントとも、アーリーアクセスとして提供が始まります。

Chainguardは、JavaScriptとGo向けのCVE修正対応も追加します。これには、重大度が「クリティカル」または「高」の脆弱性に対するバックポート修正が含まれます。アプリケーションの変更や大規模なテストをせずに、すぐに新しいメジャーバージョンへ移行できないチームにとって、バックポートは重要です。大規模なアップグレードを計画する間も、リスクへの曝露を抑えられます。

同社によると、JavaとPythonについては、業界コンソーシアムのAthenaが、最先端のAIモデルによって発見された脆弱性の修正済みアーティファクトを、その脆弱性が公になった当日に提供します。これは脆弱性の公表時点での対応に関する主張であり、未公表の欠陥が存在しないことを保証するものではありません。

パッチ適用だけでは対応が難しくなっている理由を示す調査

製品の発表にあわせ、ChainguardはWakefield Researchに委託した調査「The AI Exploit Gap」を公表します。この調査では、2026年9月に9つの市場で、サイバーセキュリティ分野のリーダー1,300人から回答を集めました。回答者は全員、少なくともディレクター職で、原則として従業員500人以上の組織に勤務していました。ただし、シンガポールとUAE／サウジアラビアでは、従業員250人以上が対象となりました。

この調査では、54%が、自組織では重大度が「高」または「クリティカル」の脆弱性を、少なくとも時折、認識しながらも未修正のままにしていると回答しました。また、93%が、AIを利用したエクスプロイトへの修正対応を十分に迅速に行えるか懸念していると答えました。さらに76%が、前年にAIを利用した攻撃を確認した、またはその疑いがあったと報告しました。

最後の数値は、確認済みのインシデントと疑いのある事例を合わせたものです。AIが引き起こした攻撃の件数を独立に検証した測定値として捉えるべきではありません。より広く見ても、これらは回答者の報告と予測であり、特定の攻撃手法がどれほどの頻度で成功するかを示すテレメトリーではありません。

運用面での調査結果は示唆に富んでいます。売上高が少なくとも10億ドルの企業では、66%が、重大度が「高」または「クリティカル」の脆弱性を少なくとも時折未修正のままにしていると回答しました。売上高が2億5,000万ドル未満の企業では、同じ回答をした割合は27%でした。大規模な組織は、業務の中断や競合する製品の優先事項といった、事業上のトレードオフを理由に挙げています。つまり、この差は欠陥を発見する能力だけでなく、変更を展開する能力にも関わっています。

自律性が高まるほど、検証可能な制御が必要に

Chainguardが発表した3つの取り組みは、一貫したアプローチを構成しています。実行環境を制限し、エージェントが迅速に検証を行い、その結果を追跡できるようにし、エージェントが利用する依存関係を管理します。それぞれが、同じ開発ワークフローの異なる部分に対応しています。

実効性を測るうえでは、これらの制御が、さらなるボトルネックになることなく、実際のリポジトリやサービス連携、リリースポリシーに適合するかどうかが重要です。ベータ版およびアーリーアクセスの段階では、今後その検証が必要です。ただし、方向性は明確です。コーディングエージェントが行動する能力を高めるにつれて、企業には、作業の全過程を通じて適用でき、検査可能なセキュリティ制御が必要になります。