二つの製品が扱う工程と、発表日の根拠
SecurityWeekの11月13日付記事は、前日のイベントでRed TeamとDefense Factoryが発表されたと報じた。公式ページでも二つの製品を確認できる。前者はWebアプリに対する侵入テスト、つまり許可された範囲で攻撃を試して弱点を確かめる作業を担う。後者は見つかった問題をコードに沿って調べ、修正案を準備する。公開ページ自体の日付は明示されていないため、発表の出来事と報道の公開日を分けて記した。
Red Teamは弱点と修正の有効性を調べる
公式説明では、AIエージェントがソースコードやアプリの情報を使い、侵入につながる経路を調査する。コード検査ツールや報奨金制度への報告など、既存の発見事項の検証にも対応する。修正後に同じ問題を悪用できなくなったかを再テストする構成だ。隔離した環境とGuardianによる点検で、接続できるアプリや通信先の範囲を制御するとしている。対象外のシステムまで検査してよいという説明ではない。
修正案の準備と、人が統合を決める工程
Defense Factoryは、セキュリティ製品などから受け取った問題を調査し、コードの修正案を作る。技術者は根拠を確認し、追加の情報を与えたり案を調整したりできる。公式案内は、変更を統合する前に人がレビューとテストを行うとしている。コードの変更に合わせた定期検査も想定される。編集上の着眼点は、検出の自動化だけでなく、どの問題を直し、変更が別の不具合を生まないかを判断する工程との接続にある。
一般提供や効果の実証とは区別して読む
Red Teamは早期アクセスへの相談を受け付けており、Daybreak全体でも申請者と利用目的を審査する仕組みが案内されている。SecurityWeekはDefense Factoryを承認済みワークスペース向けのプレビューと説明する。誰でも同じ条件で直ちに使える製品と受け取るのは適切でない。今回の資料から、修正率や実運用の防御効果を独立に評価することはできない。今後は提供範囲に加え、再現可能な検証結果や利用者側の運用報告が確認点となる。