ZenVeil：AI生成コードに特化したセキュリティスキャンツール
ZenVeilは、AIコーディングツール（Copilot、Cursor、Claudeなど）が生成したコードのセキュリティ脆弱性を30秒以内にスキャンし、自動的にGitHub PRを作成して修正するAIネイティブなDevSecOpsツールです。秘密情報の検出、サプライチェーンセキュリティ、SAST分析を提供し、AIコード特有の障害モードに最適化されています。
ZenVeilは、AIコーディングツール（GitHub Copilot、Cursor、Claude Codeなど）が生成したコードに特有のセキュリティリスクに対処するために設計されたAIネイティブなDevSecOpsツールです。AIを活用した開発が普及するにつれ、従来のセキュリティツールではAIコードの特定の脆弱性パターンを捉えきれないことが明らかになっています。ZenVeilは、特化したルールエンジンにより30秒以内にこれらの脆弱性を発見し、GitHub PRを自動的に作成して修正します。
主要機能
- 秘密情報検出：AWSキー、GitHubトークン、Stripeキー、JWTなど200以上の秘密パターンを正規表現とエントロピー分析で検出し、誤検出を最小限に抑えます。
- サプライチェーンセキュリティ：浮動依存関係バージョン、ロックファイルの欠落、OSV.devによるCVE照会（lodash、axios、momentの既知の脆弱性など）をチェックします。
- SAST分析：ルートハンドラを静的分析し、アクセス制御の欠落やSQLインジェクションなどの問題を発見します。
- 自動修正：各発見に対して修正提案を生成し、修正コードを含むPRを直接開くことで、発見からマージまでのシームレスなワークフローを実現します。
AIコード向けの最適化
ZenVeilのルールエンジンは、さまざまなAIツールの一般的な障害モードに合わせて調整されています。
- GitHub Copilot：自動補完で高頻度にハードコードされた秘密を生成。
- Cursor：複数ファイルの編集で一貫性のない認証チェックを導入。
- Claude Code：長時間セッションでトレーニングデータの古い依存関係を引き込む可能性。
動作方法
ZenVeilはPythonパッケージとしてインストールされ、登録や設定不要で使用できます。スキャン時、リポジトリは読み取り専用で一時的なサンドボックスにクローンされ、コードはスキャン完了後に即座に削除され、保存やトレーニングに使用されることはありません。各発見にはファイルパスと行番号が含まれ、検証が容易です。ユーザーはCLIコマンド（例：zenveil scan github myorg/repo）でスキャンを開始でき、GitHub Actionsワークフローに統合して、CRITICAL/HIGHの重大度の発見を含むPRのマージを自動的にブロックすることもできます。
エンタープライズ向けの信頼性
ZenVeilはSOC 2 Type II認証（進行中）、GDPR準拠、コード不保存の保証、読み取り専用OAuthトークンなどのセキュリティ対策を提供しています。企業はデータ処理契約（DPA）をリクエストできます。
実際の効果
初期ユーザーのフィードバックによると、ZenVeilは短時間で実際のセキュリティ問題（例：ハードコードされたStripeキー）を発見し、自動修正することで、開発者のセキュリティ効率を向上させています。